您还可以为每个文件夹配置ListBuckets，如下所示

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSESPuts-1521238702575",
            "Effect": "Allow",
            "Principal": {
                "Service": "ses.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::buckets.email/*",
            "Condition": {
                "StringEquals": {
                    "aws:Referer": "[red]"
                }
            }
        },
        {
            "Sid": "Stmt1586754972129",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::596322993031:user/[red]"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::buckets.email",
            "Condition": {
                "StringEquals": {
                    "s3:delimiter": "/",
                    "s3:prefix": [
                        "",
                        "domain.co",
                        "domain.co/user"
                    ]
                }
            }
        },
        {
            "Sid": "Stmt1586754972129",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::596322993031:user/[red]"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::buckets.email",
            "Condition": {
                "StringLike": {
                    "s3:prefix": "domain.co/user/*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::596322993031:user/[red]"
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::buckets.email/domain.co/user/*"
        }
    ]
}

这些规则与SES一起用于接收电子邮件，但允许外部用户查看SES放入bucket中的文件。 我按照这里的说明做了:https://aws.amazon.com/blogs/security/writing-iam-policies-grant-access-to-user-specific-folders-in-an-amazon-s3-bucket/

此外，必须将prefix指定为域。co/user/ WITH在使用SDK时，否则你将被拒绝访问。希望能对大家有所帮助

我发现我的ListBuckets没有工作，因为IAM原则没有ListAllMyBuckets权限。

仅仅删除s3:ListBucket权限对我来说并不是一个足够好的解决方案，可能对其他许多人来说也不是。

如果你想要s3:ListBucket权限，你只需要有桶的普通arn(没有结尾的/*)，因为这个权限适用于桶本身，而不是桶内的项目。

如下所示，你必须拥有s3:ListBucket权限，作为一个单独的语句，与bucket内的项目相关的权限，如s3:GetObject和s3:PutObject:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"        
      ],
      "Principal": {
        "AWS": "[IAM ARN HERE]"
      },
      "Resource": "arn:aws:s3:::my-bucket-name"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject", 
        "s3:PutObject"
      ],
      "Principal": {
        "AWS": "[IAM ARN HERE]"
      },
      "Resource": "arn:aws:s3:::my-bucket-name/*"
    }
  ]
}

错误操作不适用于语句中的任何资源

简单地说，这意味着您在策略中写入的操作不适用于资源。我试图公开我的存储桶，这样任何人都可以从我的存储桶中下载。我得到错误，直到我删除(“s3:ListBucket”)从我的声明。

{
  "Id": "Policyxxxx961",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmtxxxxx4365",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket",
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::bucket-name/*",
      "Principal": "*"
    }
  ]
}

因为列表桶不应用于桶内部，因此删除此操作策略可以很好地工作。

参考AWS >文档> AWS身份和访问管理>用户指南 https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html

它在注释中明确定义，有些服务不允许您为单个资源指定操作。

在Resource元素中使用通配符*

“资源”:“当arn: aws s3::: surplace-audio / *

在我的案例中，这个错误的解决方案是试图删除我正在应用的一些动作。其中一些与此资源无关，或者不能使用此资源。 在这种情况下，它不让我包括这些:

GetBucketAcl ListBucket ListBucketMultipartUploads