我遵循这个答案的说明来生成以下S3桶策略:
{
"Id": "Policy1495981680273",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1495981517155",
"Action": [
"s3:GetObject"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::surplace-audio",
"Principal": "*"
}
]
}
我得到以下错误:
操作不适用于语句中的任何资源
我的保单中遗漏了什么?
当前回答
来自IAM docs, http://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Action
有些服务不允许您为单个资源指定操作;相反，您在Action或NotAction元素中列出的任何操作都应用于该服务中的所有资源。在这些情况下，在Resource元素中使用通配符*。
有了这些信息，resource的值应该如下所示:
"Resource": "arn:aws:s3:::surplace-audio/*"
其他回答
来自IAM docs, http://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Action
有些服务不允许您为单个资源指定操作;相反，您在Action或NotAction元素中列出的任何操作都应用于该服务中的所有资源。在这些情况下，在Resource元素中使用通配符*。
有了这些信息，resource的值应该如下所示:
"Resource": "arn:aws:s3:::surplace-audio/*"
错误操作不适用于语句中的任何资源
简单地说，这意味着您在策略中写入的操作不适用于资源。我试图公开我的存储桶，这样任何人都可以从我的存储桶中下载。我得到错误，直到我删除(“s3:ListBucket”)从我的声明。
{
"Id": "Policyxxxx961",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmtxxxxx4365",
"Action": [
"s3:GetObject",
"s3:ListBucket",
"s3:PutObject"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::bucket-name/*",
"Principal": "*"
}
]
}
因为列表桶不应用于桶内部，因此删除此操作策略可以很好地工作。
仅仅删除s3:ListBucket权限对我来说并不是一个足够好的解决方案，可能对其他许多人来说也不是。
如果你想要s3:ListBucket权限，你只需要有桶的普通arn(没有结尾的/*)，因为这个权限适用于桶本身，而不是桶内的项目。
如下所示，你必须拥有s3:ListBucket权限，作为一个单独的语句，与bucket内的项目相关的权限，如s3:GetObject和s3:PutObject:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:ListBucket"
],
"Principal": {
"AWS": "[IAM ARN HERE]"
},
"Resource": "arn:aws:s3:::my-bucket-name"
},
{
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:PutObject"
],
"Principal": {
"AWS": "[IAM ARN HERE]"
},
"Resource": "arn:aws:s3:::my-bucket-name/*"
}
]
}
刚刚遇到了这个问题，并为那些想要在同一策略中拥有ListBucket和GetObject的人找到了一个更短的解决方案。重要的是在Resource下列出bucket-name和bucket-name/*。
{
"Id": "Policyxxxx961",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmtxxxxx4365",
"Action": [
"s3:GetObject",
"s3:ListBucket",
"s3:PutObject"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::bucket-name",
"arn:aws:s3:::bucket-name/*"
],
"Principal": "*"
}
]
}
我发现我的ListBuckets没有工作，因为IAM原则没有ListAllMyBuckets权限。
