Политика Iam для ведра s3

Question

Можем ли мы написать политику iam для ограничения создания корзины s3 только при наличии тегов. Пользователь должен иметь возможность создавать корзину S3 только при наличии определенных тегов.

Answer 1

Нет, политики не предназначены для использования таким образом, но вы можете решить проблему следующим образом:

1- Удалить публичный доступ к корзине S3

2- Создайте веб-приложение (может быть, простой HTML (размещенный на s3), поддерживаемый лямбда-функцией), чтобы позволить пользователям выбирать свои файлы для загрузки на S3 и предоставлять некоторые теги

3- После того, как ваши пользовательские проверки пройдены, вызовите api aws-sdk, чтобы загрузить файлы на S3

Answer 2

Нет способа пометить пользователей с помощью тегов ресурсов; они не поддерживаются для пользователей.

Вместо этого вы должны рассмотреть возможность использования групп IAM и отрицать CreateBucket разрешение для определенной группы IAM, а затем назначить этого пользователя для этой группы. Таким образом, пользователи в этой группе не будут иметь разрешения на создание сегментов S3.

Answer 3

Примечание. Я не проверял это, но это задокументировано AWS.

Вы можете сделать это, используя пути пользователя IAM. Например, вы можете создать IAM User Path "bucket_managers". Тогда в вашей политике вы можете использовать выражение ресурса, как это:

"Resource":"arn:aws:iam::<ACCOUNTNUMBER>:user/bucket_managers/*"

Идентификаторы IAM