我遵循这个答案的说明来生成以下S3桶策略:
{
"Id": "Policy1495981680273",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1495981517155",
"Action": [
"s3:GetObject"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::surplace-audio",
"Principal": "*"
}
]
}
我得到以下错误:
操作不适用于语句中的任何资源
我的保单中遗漏了什么?
来自IAM docs, http://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Action
有些服务不允许您为单个资源指定操作;相反，您在Action或NotAction元素中列出的任何操作都应用于该服务中的所有资源。在这些情况下，在Resource元素中使用通配符*。
有了这些信息，resource的值应该如下所示:
"Resource": "arn:aws:s3:::surplace-audio/*"
错误操作不适用于语句中的任何资源
简单地说，这意味着您在策略中写入的操作不适用于资源。我试图公开我的存储桶，这样任何人都可以从我的存储桶中下载。我得到错误，直到我删除(“s3:ListBucket”)从我的声明。
{
"Id": "Policyxxxx961",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmtxxxxx4365",
"Action": [
"s3:GetObject",
"s3:ListBucket",
"s3:PutObject"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::bucket-name/*",
"Principal": "*"
}
]
}
因为列表桶不应用于桶内部，因此删除此操作策略可以很好地工作。
仅仅删除s3:ListBucket权限对我来说并不是一个足够好的解决方案，可能对其他许多人来说也不是。
如果你想要s3:ListBucket权限，你只需要有桶的普通arn(没有结尾的/*)，因为这个权限适用于桶本身，而不是桶内的项目。
如下所示，你必须拥有s3:ListBucket权限，作为一个单独的语句，与bucket内的项目相关的权限，如s3:GetObject和s3:PutObject:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:ListBucket"
],
"Principal": {
"AWS": "[IAM ARN HERE]"
},
"Resource": "arn:aws:s3:::my-bucket-name"
},
{
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:PutObject"
],
"Principal": {
"AWS": "[IAM ARN HERE]"
},
"Resource": "arn:aws:s3:::my-bucket-name/*"
}
]
}
刚刚遇到了这个问题，并为那些想要在同一策略中拥有ListBucket和GetObject的人找到了一个更短的解决方案。重要的是在Resource下列出bucket-name和bucket-name/*。
{
"Id": "Policyxxxx961",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmtxxxxx4365",
"Action": [
"s3:GetObject",
"s3:ListBucket",
"s3:PutObject"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::bucket-name",
"arn:aws:s3:::bucket-name/*"
],
"Principal": "*"
}
]
}
在创建bucket时，我也遇到过类似的问题
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AddPerm",
"Effect": "Allow",
"Principal": "*",
"Action": [
"s3:GetObject"
],
"Resource": [
"arn:aws:s3:::mrt9949"
]
}
]
}
我已将上述代码更改为
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AddPerm",
"Effect": "Allow",
"Principal": "*",
"Action": [
"s3:GetObject"
],
"Resource": [
"arn:aws:s3:::mrt9949/*"
]
}
]
}
在桶名中添加/*可以解决这个问题
这里我的桶名是mrt9949
在我的案例中，这个错误的解决方案是试图删除我正在应用的一些动作。其中一些与此资源无关，或者不能使用此资源。 在这种情况下，它不让我包括这些:
GetBucketAcl ListBucket ListBucketMultipartUploads
您必须检查Policy-的Resource标记下定义的arn模式
“资源”:“当arn: aws s3::: s3mybucketname / *
在桶的公共访问策略被解除后，如果你遇到这个问题，在结尾添加“/*”将有助于解决这个问题。
转到实例中的Amazon S3。 进入“权限->公共访问”页签。 选择“编辑”，取消勾选“阻止所有公共访问”并保存。 您将在权限选项卡和访问控制列表中看到“公共”标签。
您还可以为每个文件夹配置ListBuckets，如下所示
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowSESPuts-1521238702575",
"Effect": "Allow",
"Principal": {
"Service": "ses.amazonaws.com"
},
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::buckets.email/*",
"Condition": {
"StringEquals": {
"aws:Referer": "[red]"
}
}
},
{
"Sid": "Stmt1586754972129",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::596322993031:user/[red]"
},
"Action": "s3:ListBucket",
"Resource": "arn:aws:s3:::buckets.email",
"Condition": {
"StringEquals": {
"s3:delimiter": "/",
"s3:prefix": [
"",
"domain.co",
"domain.co/user"
]
}
}
},
{
"Sid": "Stmt1586754972129",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::596322993031:user/[red]"
},
"Action": "s3:ListBucket",
"Resource": "arn:aws:s3:::buckets.email",
"Condition": {
"StringLike": {
"s3:prefix": "domain.co/user/*"
}
}
},
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::596322993031:user/[red]"
},
"Action": [
"s3:GetObject",
"s3:PutObject",
"s3:DeleteObject"
],
"Resource": "arn:aws:s3:::buckets.email/domain.co/user/*"
}
]
}
这些规则与SES一起用于接收电子邮件，但允许外部用户查看SES放入bucket中的文件。 我按照这里的说明做了:https://aws.amazon.com/blogs/security/writing-iam-policies-grant-access-to-user-specific-folders-in-an-amazon-s3-bucket/
此外，必须将prefix指定为域。co/user/ WITH在使用SDK时，否则你将被拒绝访问。希望能对大家有所帮助
参考AWS >文档> AWS身份和访问管理>用户指南 https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html
它在注释中明确定义，有些服务不允许您为单个资源指定操作。
在Resource元素中使用通配符*
“资源”:“当arn: aws s3::: surplace-audio / *
无论何时尝试应用桶策略。记住这一点，如果你正在使用像“s3:ListBucket”，“s3:GetBucketPolicy”，“s3:GetBucketAcl”等与桶相关的操作，policy中的资源属性应该被提到为<" resource ": "arn:aws:s3:::bucket_name">。
Ex.
{
"Version": "2012-10-17",
"Id": "Policy1608224885249",
"Statement": [
{
"Sid": "Stmt1608226298927",
"Effect": "Allow",
"Principal": "*",
"Action": [
"s3:GetBucketPolicy",
"s3:GetBucketAcl",
"s3:ListBucket"
],
"Resource": "arn:aws:s3:::bucket_name"
}
]
}
如果您正在使用“s3:GetObject”、“s3:DeleteObject”、“s3:GetObject”等与对象相关的操作，则policy中的资源属性应提到为<" resource ": "arn:aws:s3:::bucket_name/*">。
ex.
{
"Id": "Policy1608228066771",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1608228057071",
"Action": [
"s3:DeleteObject",
"s3:GetObject"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::bucket_name/*",
"Principal": "*"
}
]
}
最后，如果你正在使用“s3:ListBucket”，“s3:GetObject”等操作，这些操作与桶和对象都相关，那么策略中的资源属性应该被提到为<" resource ": ["arn:aws:s3:::bucket_name/*"， " resource ": "arn:aws:s3:::bucket_name">。
ex.
{
"Version": "2012-10-17",
"Id": "Policy1608224885249",
"Statement": [
{
"Sid": "Stmt1608226298927",
"Effect": "Allow",
"Principal": "*",
"Action": [
"s3:ListBucket",
"s3:GetObject"
],
"Resource": [
"arn:aws:s3:::bucket_name",
"arn:aws:s3:::bucket_name/*"
]
}
] }
这很简单，只需要在结尾加上“/*”。您只给出了根目录链接，但是需要将操作应用到对象。
类型, “资源”:“在攻击:aws: s3::: surplace-audio / *”
只需在json policy resource中做一个更改。
"Resource": ["arn:aws:s3:::bucket-name/*"]
注意:在bucket-name后面加/*
参考文档: https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html
要解决这个问题，您需要在策略规则中找到Resource，并在数组中添加arn桶，一个带*，第二个末尾不带*。这将修复错误。
{
"Version": "2012-10-17",
"Id": "Policy3783783783738",
"Statement": [
{
"Sid": "Stmt1615891730703",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::76367367633:user/magazine-demo-root-user"
},
"Action": [
"s3:ListBucket",
"s3:ListBucketVersions",
"s3:GetBucketLocation",
"s3:DeleteObject",
"s3:AbortMultipartUpload",
"s3:Get*",
"s3:Put*"
],
"Resource": [
"arn:aws:s3:::magazine-demo",
"arn:aws:s3:::magazine-demo/*"
]
}
]
}
您可能有几个策略语句，这个错误是非常普遍的。最好的方法是注释除任何一个以外的所有其他语句(如GetObject，或ListBuckets，或PutObject)并执行代码并查看。如果工作正常，就意味着ARN路径是正确的。否则，ARN应该单独包含桶名或包含/*的桶名。
一些资源(如ListBucket)接受ARN的全名，如“ARN:aws:s3:::bucket_name”，而GetObject或PutObject要求bucket_name后面有一个/*。根据服务更改arn，现在应该可以工作了!
