AWS IAM GroupPolicy - Почему разрешение s3: PutObject не работает?

Question

У меня есть группа, и я применил приведенную ниже политику к группе. Я добавил пользователя в группу и создал ключи доступа для пользователя. Я могу получить от «mybucket», но я не могу поставить «mybucket». Когда я пытаюсь Put, я получаю «Access Denied». Может ли кто-нибудь сказать мне, что я делаю неправильно. Пожалуйста, дайте мне знать.

{ 
     "Statement":[{ 
      "Effect":"Allow", 
      "Action":["s3:PutObject","s3:GetObject"], 
      "Resource":["arn:aws:s3:::mybucket","arn:aws:s3:::mybucket/*"] 
      }, 
      { 
      "Effect":"Deny", 
      "Action":["*"], 
      "NotResource":["arn:aws:s3:::mybucket","arn:aws:s3:::mybucket/*"] 
      } 
     ] 
    } 

EDIT: Кто-то попросил меня указать цель политики. Я хочу «Разрешить» только разрешения PUT и GET для группы для указанных ковшей. Я хочу явно указать «Запретить» все другие разрешения для группы для всех ресурсов, указанных NOT (NotResource). Я добавил явную «Deny» на основе статьи AWS, которая предположила, что это была хорошая практика.

Answer 1

Отрицательные утверждения всегда имеют приоритет над Разрешающими утверждениями, что подразумевает, что указанная выше политика должна блокировать весь доступ пользователя. Как вы делаете запросы Get и Put? Возможно ли, что результаты были выполнены анонимно (без аутентификации)?

Было бы полезно понять, какова была ваша цель в отношении вышеуказанной политики? Какова цель заявления Deny?

Answer 2

От: IAM Language Info

Каждой политика должна охватывать только одно ведро и ресурсы в пределах этого сегмента (при написании политики, не включает в себя заявление, которые относятся к другим ковшам или ресурсам в других ведрах)