基于Cognito ID的S3文件夹访问的IAM策略
我创build了IAM策略，允许Cognito用户写入我的S3存储桶，但是我想根据他们的Cognito ID将它们限制到文件夹。 我在这里遵循了亚马逊的指示，并创build了如下所示的策略：
{ "Effect": "Allow", "Action": ["s3:PutObject","s3:GetObject"], "Resource": [ "arn:aws:s3:::mybucket/myappfolder/${cognito-identity.amazonaws.com:sub}*" ] } 但是当我尝试使用AWS iOS SDK的v2进行上传时，我得到一个访问被拒绝的错误。
如果我修改了资源的最后一个path组件，用我从SDK的AWSCognitoCredentialsProvider获得的显式identityId值来replace${cognito-identity.amazonaws.com:sub} 。
{ "Effect": "Allow", "Action": ["s3:PutObject","s3:GetObject"], "Resource": [ "arn:aws:s3:::mybucket/myappfolder/us-east-1:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx*" ] }
我的理解是，这些应该等同于相同的东西。 我是否在我的政策中遗漏了某些内容，或者是否应该在我的上传请求中使用不同的path？
** 更新 **
我原本在iOS中有这个问题，所以今天晚上我尝试在node.js中做同样的事情，结果是相同的。 以下是我在节点中使用的简单代码：
var s3 = new AWS.S3(); AWS.config.region = 'us-east-1'; AWS.config.credentials = new AWS.CognitoIdentityCredentials(AWSParams); AWS.config.credentials.get(function (err) { if (!err) { console.log("Cognito Identity Id: " + AWS.config.credentials.identityId); var bucketName = 'ch123_test_bucket'; var keyName = AWS.config.credentials.identityId + '.txt'; var params = {Bucket: bucketName, Key: keyName, Body: 'Hello World!'}; s3.putObject(params, function (err, data) { if (err) console.log(err) else console.log("Successfully uploaded data to " + bucketName + "/" + keyName); }); }
我得到了与iOS相同的结果：除非在IAM策略中提供明确的authenticationID，否则API以403响应。
我把我的IAM政策剥离到了最低限度。 这不起作用：
{ "Statement": [ { "Effect": "Allow", "Action": ["s3:PutObject","s3:GetObject"], "Resource": [ "arn:aws:s3:::ch123_test_bucket/${cognito-identity.amazonaws.com:sub}*" ] } ] }
这样做：
{ "Statement": [ { "Effect": "Allow", "Action": ["s3:PutObject","s3:GetObject"], "Resource": [ "arn:aws:s3:::ch123_test_bucket/us-east-1:68a5dc49-6cc7-4289-8257-d3d5636f7034*" ] } ] }
我没有看到我在这里失踪的东西…我一直能find的唯一文档总是显示我一直在使用的相同的示例资源值。
不幸的是，目前通过Cognito控制台生成的angular色与策略variables相结合存在问题。 请更新您angular色的访问策略，以包含以下内容以确保策略variables得到正确评估：
"Version": "2012-10-17"
2014-09-16更新：我们更新了Amazon Cognito控制台，以更正通过身份池创build向导创build的新angular色的此问题。 现有angular色仍然需要进行上述修改。
你错过了最后的斜线。
{ "Effect": "Allow", "Action": ["s3:PutObject","s3:GetObject"], "Resource": [ "arn:aws:s3:::mybucket/cognito/myappfolder/${cognito-identity.amazonaws.com:sub}/*" ] }
也尝试考虑这篇文章 。