我遵循这个答案的说明来生成以下S3桶策略:
{
"Id": "Policy1495981680273",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1495981517155",
"Action": [
"s3:GetObject"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::surplace-audio",
"Principal": "*"
}
]
}
我得到以下错误:
操作不适用于语句中的任何资源
我的保单中遗漏了什么?
当前回答
这很简单，只需要在结尾加上“/*”。您只给出了根目录链接，但是需要将操作应用到对象。
类型, “资源”:“在攻击:aws: s3::: surplace-audio / *”
其他回答
这很简单，只需要在结尾加上“/*”。您只给出了根目录链接，但是需要将操作应用到对象。
类型, “资源”:“在攻击:aws: s3::: surplace-audio / *”
您可能有几个策略语句，这个错误是非常普遍的。最好的方法是注释除任何一个以外的所有其他语句(如GetObject，或ListBuckets，或PutObject)并执行代码并查看。如果工作正常，就意味着ARN路径是正确的。否则，ARN应该单独包含桶名或包含/*的桶名。
一些资源(如ListBucket)接受ARN的全名，如“ARN:aws:s3:::bucket_name”，而GetObject或PutObject要求bucket_name后面有一个/*。根据服务更改arn，现在应该可以工作了!
仅仅删除s3:ListBucket权限对我来说并不是一个足够好的解决方案，可能对其他许多人来说也不是。
如果你想要s3:ListBucket权限，你只需要有桶的普通arn(没有结尾的/*)，因为这个权限适用于桶本身，而不是桶内的项目。
如下所示，你必须拥有s3:ListBucket权限，作为一个单独的语句，与bucket内的项目相关的权限，如s3:GetObject和s3:PutObject:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:ListBucket"
],
"Principal": {
"AWS": "[IAM ARN HERE]"
},
"Resource": "arn:aws:s3:::my-bucket-name"
},
{
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:PutObject"
],
"Principal": {
"AWS": "[IAM ARN HERE]"
},
"Resource": "arn:aws:s3:::my-bucket-name/*"
}
]
}
来自IAM docs, http://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Action
有些服务不允许您为单个资源指定操作;相反，您在Action或NotAction元素中列出的任何操作都应用于该服务中的所有资源。在这些情况下，在Resource元素中使用通配符*。
有了这些信息，resource的值应该如下所示:
"Resource": "arn:aws:s3:::surplace-audio/*"
在创建bucket时，我也遇到过类似的问题
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AddPerm",
"Effect": "Allow",
"Principal": "*",
"Action": [
"s3:GetObject"
],
"Resource": [
"arn:aws:s3:::mrt9949"
]
}
]
}
我已将上述代码更改为
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AddPerm",
"Effect": "Allow",
"Principal": "*",
"Action": [
"s3:GetObject"
],
"Resource": [
"arn:aws:s3:::mrt9949/*"
]
}
]
}
在桶名中添加/*可以解决这个问题
这里我的桶名是mrt9949
