使用用户策略控制对存储桶的访问

1. 登录 AWS Management Console，单击 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

2. 在 Navigation (导航) 窗格中，请选择 IAM Dashboard (IAM 控制面板)。

3. 记下 IAM users sign in link: (IAM 用户登录链接：) 下的 URL。向 IAM 用户提供此链接，允许他们使用 IAM 用户名称和密码登录控制台。

1. 登录到 AWS Management Console，然后通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

2. 创建存储桶。

   如需分步指导，请参阅 创建桶。

3. 将一个文档上传到存储桶。

   该练习假定您在该存储桶的根级别具有 s3-dg.pdf 文档。如果您上传其他文档，请使用其文件名替代 s3-dg.pdf。

4. 将三个名为 Private、Finance 和 Development 的文件夹添加到存储桶中。

   有关创建文件夹的分步说明，请参阅 Amazon Simple Storage Service 用户指南中的 使用文件夹在 Amazon S3 控制台中整理对象>。

5. 将一个或两个文档上传到每个文件夹。

   对于该练习，假设您在每个文件夹中上传了几个文档，从而导致存储桶包含具有以下键的对象：

   • Private/privDoc1.txt

   • Private/privDoc2.zip

   • Development/project1.xls

   • Development/project2.xls

   • Finance/Tax2011/document1.pdf

   • Finance/Tax2011/document2.pdf

   • s3-dg.pdf

   如需分步指导，请参阅 上传对象。

1. 通过使用 IAM 用户登录链接（请参阅向 IAM 用户提供登录链接的步骤），使用任一 IAM 用户凭证登录到 AWS Management Console。

2. 通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

   验证是否有告知您访问已被拒绝的控制台消息。

1. 登录 AWS Management Console，单击 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

   注意

   由于您要授予用户权限，请使用您的 AWS 账户凭证登录，而不是以 IAM 用户身份登录。

2. 创建托管策略。

   1. 在左侧导航窗格中，请选择策略，然后选择创建策略。

   2. 请选择 JSON 选项卡。

   3. 复制以下访问策略，并将其粘贴到策略文本字段中。

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Sid": "AllowGroupToSeeBucketListInTheConsole",
            "Action": ["s3:ListAllMyBuckets"],
            "Effect": "Allow",
            "Resource": ["arn:aws:s3:::*"]
          }
        ]
      }

      策略是一个 JSON 文档。在文档中，Statement 是一个对象数组，其中每个对象均使用名称/值对的集合来描述权限。之前的策略描述了一个特定的权限。Action 指定访问权限的类型。在策略中，s3:ListAllMyBuckets 是预定义的 Amazon S3 操作。此操作涵盖了 Amazon S3 GET Service 操作，它可以返回已验证发件人拥有的所有存储桶的列表。Effect 元素值确定是允许还是拒绝特定的权限。

   4. 选择 Review Policy（查看策略）。在下一页上，在名称字段中输入 AllowGroupToSeeBucketListInTheConsole，然后选择创建策略。

      注意

      摘要条目显示一条消息，以指出该策略不授予任何权限。对于本演练，您可以安全地忽略此消息。

3. 将您创建的 AllowGroupToSeeBucketListInTheConsole 托管策略附加到 Consultants 组。

   有关附加托管式策略的分步说明，请参阅《IAM 用户指南》中的添加和删除 IAM 身份权限。

   您可以将策略文档附加到 IAM 控制台中的 IAM 用户和组。由于您希望两个用户都能够列出存储桶，因此，您将该策略附加到组。

4. 测试权限。

   1. 使用 IAM 用户登录链接（请参阅 向 IAM 用户提供登录链接的步骤），通过任何 IAM 用户凭证登录控制台。

   2. 通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

      控制台现在应该会列出所有的存储桶，但不会列出任何存储桶中的对象。

允许用户列出根级存储桶内容的步骤

1. 登录 AWS Management Console，单击 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

   使用 AWS 账户凭证，而不是 IAM 用户的凭证登录控制台。

2. 将附加到 Consultants 组的现有 AllowGroupToSeeBucketListInTheConsole 托管策略替换为以下策略，这还会允许执行 s3:ListBucket 操作。记得将策略 Resource 中的 companybucket 替换为您的存储桶的名称。

   有关分步说明，请参阅《IAM 用户指南》中的编辑 IAM 策略。在按照分步说明进行操作时，请务必执行将更改应用于策略附加到的所有主体实体的步骤。

   {
     "Version": "2012-10-17",                 
     "Statement": [
        {
          "Sid": "AllowGroupToSeeBucketListAndAlsoAllowGetBucketLocationRequiredForListBucket",
          "Action": [ "s3:ListAllMyBuckets", "s3:GetBucketLocation" ],
          "Effect": "Allow",
          "Resource": [ "arn:aws:s3:::*"  ]
        },
        {
          "Sid": "AllowRootLevelListingOfCompanyBucket",
          "Action": ["s3:ListBucket"],
          "Effect": "Allow",
          "Resource": ["arn:aws:s3:::companybucket"],
          "Condition":{ 
                "StringEquals":{
                       "s3:prefix":[""], "s3:delimiter":["/"]
                              }
                      }
        }
     ] 
   }

3. 测试更新的权限。

   1. 使用 IAM 用户登录链接（请参阅向 IAM 用户提供登录链接的步骤）登录 AWS Management Console。

      通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

   2. 请选择您创建的存储桶，控制台将显示根级存储桶项目。如果您选择存储桶中的任何文件夹，则无法看到文件夹内容，因为您尚未授予这些权限。

1. 登录 AWS Management Console，单击 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

   使用 AWS 账户凭证，而不是 IAM 用户的凭证登录控制台。

2. 创建一个内联策略，以便为 Alice 用户授予权限以列出 Development 文件夹内容。

   1. 在左侧导航窗格中，请选择用户。

   2. 请选择用户名 Alice。

   3. 在用户详细信息页面上，请选择权限选项卡，然后选择添加内联策略。

   4. 请选择 JSON 选项卡。

   5. 复制以下策略，并将其粘贴到策略文本字段中。

      {
          "Version": "2012-10-17",  
          "Statement": [
          {
            "Sid": "AllowListBucketIfSpecificPrefixIsIncludedInRequest",
            "Action": ["s3:ListBucket"],
            "Effect": "Allow",
            "Resource": ["arn:aws:s3:::companybucket"],
            "Condition":{  "StringLike":{"s3:prefix":["Development/*"] }
             }
          }
        ]
      }

   6. 选择 Review Policy（查看策略）。在下一页上，在名称字段中输入一个名称，然后选择创建策略。

3. 测试对 Alice 的权限的更改：

   1. 使用 IAM 用户登录链接（请参阅向 IAM 用户提供登录链接的步骤）登录 AWS Management Console。

   2. 通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

   3. 在 Amazon S3 控制台中，验证 Alice 能否查看存储桶中 Development/ 文件夹中的对象列表。

      当用户单击 /Development 文件夹以查看其中的对象列表时，Amazon S3 控制台会向 Amazon S3 发送 ListObjects 请求并使用前缀 /Development。由于用户已被授予许可，可以查看使用前缀 Development 和分隔符 / 的对象列表，因此 Amazon S3 将返回使用密钥前缀 Development/ 的对象列表，并且控制台将显示该列表。

1. 登录到 AWS Management Console，然后通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

   使用 AWS 账户凭证，而不是 IAM 用户的凭证登录控制台。

2. 编辑您在上一步中创建的内联策略。

   1. 在左侧导航窗格中，请选择用户。

   2. 请选择 Alice 用户名。

   3. 在用户详细信息页面上，请选择权限选项卡，然后展开内联策略部分。

   4. 在上一步中创建的策略名称旁边，请选择编辑策略。

   5. 复制以下策略，并将其粘贴到策略文本字段中，从而替换现有的策略。

      {
           "Version": "2012-10-17",
           "Statement":[
            {
               "Sid":"AllowListBucketIfSpecificPrefixIsIncludedInRequest",
               "Action":["s3:ListBucket"],
               "Effect":"Allow",
               "Resource":["arn:aws:s3:::companybucket"],
               "Condition":{
                  "StringLike":{"s3:prefix":["Development/*"]
                  }
               }
            },
            {
              "Sid":"AllowUserToReadWriteObjectDataInDevelopmentFolder", 
              "Action":["s3:GetObject", "s3:PutObject"],
              "Effect":"Allow",
              "Resource":["arn:aws:s3:::companybucket/Development/*"]
            }
         ]
      }

3. 测试更新的策略：

   1. 使用 IAM 用户登录链接（请参阅向 IAM 用户提供登录链接的步骤）登录 AWS Management Console。

   2. 通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

   3. 在 Amazon S3 控制台中，验证 Alice 现在能否在 Development 文件夹中添加和下载对象。

1. 登录到 AWS Management Console，然后通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

   使用 AWS 账户凭证，而不是 IAM 用户的凭证登录控制台。

2. 将附加到 Consultants 组的现有 AllowGroupToSeeBucketListInTheConsole 托管策略替换为以下策略。记得将策略中的 companybucket 替换为您的存储桶的名称。

   有关说明，请参阅《IAM 用户指南》中的编辑客户托管策略。按照说明操作时，请确保按照指示操作，以便将您的更改应用到策略附加到的所有主体实体。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowGroupToSeeBucketListAndAlsoAllowGetBucketLocationRequiredForListBucket",
         "Action": ["s3:ListAllMyBuckets", "s3:GetBucketLocation"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::*"]
       },
       {
         "Sid": "AllowRootLevelListingOfCompanyBucket",
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::companybucket"],
         "Condition":{
             "StringEquals":{"s3:prefix":[""]}
          }
       },
       {
         "Sid": "RequireFolderStyleList",
         "Action": ["s3:ListBucket"],
         "Effect": "Deny",
         "Resource": ["arn:aws:s3:::*"],
         "Condition":{
             "StringNotEquals":{"s3:delimiter":"/"}
          }
        },
       {
         "Sid": "ExplictDenyAccessToPrivateFolderToEveryoneInTheGroup",
         "Action": ["s3:*"],
         "Effect": "Deny",
         "Resource":["arn:aws:s3:::companybucket/Private/*"]
       },
       {
         "Sid": "DenyListBucketOnPrivateFolder",
         "Action": ["s3:ListBucket"],
         "Effect": "Deny",
         "Resource": ["arn:aws:s3:::*"],
         "Condition":{
             "StringLike":{"s3:prefix":["Private/"]}
          }
       }
     ]
   }