S3 - предоставить каждому пользователю доступ/секретные ключи для каталога данных пользователя

Question

Возможно ли динамическое создание ключей доступа/секретности для каждого пользователя в моей системе, что позволит им читать/записывать/записывать содержимое в ведро с помощью конкретный префикс.

например: мое ведро является пользователемDataBucket. пользователь с идентификатором 77 авторизован Я хотел бы послать его на доступ клиента/секрет, чтобы он мог работать с этим каталогом:.

s3://userDataBucket/users/77/ 

он должен работать только с этим каталогом и не имеет доступа к какому-либо другой каталог.

такое возможно?

Answer 1

примечание: вы должны просмотреть iam limits on users and policies. Существуют ограничения на масштабирование с конечными пользователями/политиками, например, вы можете иметь только 5000 пользователей IAM, 250 ролей и 100 групп. Рассмотрите возможность использования temporary credentials, если вам требуется масштабируемое решение.

Вот политика IAM, позволяющая получить доступ к каталогу /users/${username} в ведре userDataBucket. Политика использует переменную, чтобы любой пользователь был аутентифицирован, имел бы доступ к каталогу, соответствующему их имени пользователя. Вы можете применить это к ведро и использовать его в качестве глобальной стратегии, если в плане должны использоваться пользователи IAM.

{ 
    "Version":"2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "AllowListingWithinUserDirectory", 
     "Action": ["s3:ListBucket"], 
     "Effect": "Allow", 
     "Resource": ["arn:aws:s3:::userDataBucket"], 
     "Condition":{"StringLike":{"s3:prefix":["users/${aws:username}/*"]}} 
    }, 
    { 
     "Sid": "AllowAllActionsWithinUserDirectory", 
     "Effect": "Allow", 
     "Action": ["s3:*"], 
     "Resource": ["arn:aws:s3:::userDataBucket/users/${aws:username}/*"] 
    } 
    ] 
} 

Если вы хотите явным образом идентифицировать каждый пользователь по автоинкрементному ид явной политика будет выглядеть следующим образом:

{ 
    "Version":"2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "AllowListingWithinUserDirectory", 
     "Action": ["s3:ListBucket"], 
     "Effect": "Allow", 
     "Resource": ["arn:aws:s3:::userDataBucket"], 
     "Condition":{"StringLike":{"s3:prefix":["users/77/*"]}} 
    }, 
    { 
     "Sid": "AllowAllActionsWithinUserDirectory", 
     "Effect": "Allow", 
     "Action": ["s3:*"], 
     "Resource": ["arn:aws:s3:::userDataBucket/users/77/*"] 
    } 
    ] 
} 

В SDKs AWS предлагает методы для автоматизации создания программных документов и возможность прикреплять их к пользователям и группам. Некоторые методы, например, из Java SDK:

AmazonIdentityManagementClient.createPolicy() AmazonIdentityManagementClient.attachUserPolicy() AmazonIdentityManagementClient.attachGroupPolicy()