AWS S3 存储桶策略 - 仅在前缀内允许 GetObject

Question

我正在尝试在我的存储桶上设置一个策略，以允许对我的对象进行公共“GetObject”访问，但仅限于特定前缀内的那些。像这样：

    {
        "Effect": "Allow",
        "Principal": "*",
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::mybucket/publicstuff/*"
    }

问题是，AWS 警告我这会使整个存储桶公开。果然，确实如此；如果我尝试从 /mybucket/anywhereelse/ 获取对象，S3 会免费提供它。所以 'mybucket' 之后的所有内容都会被忽略。

有没有办法建立适用于存储桶中特定前缀的存储桶策略？我尝试了一个策略条件，但发现在使用 s3:GetObject 操作时无法使用 s3:prefix。

Answer 1

感谢@michael 和@mok，我找到了答案：我是个白痴。我用来验证标准行为的其他对象碰巧对它们具有单独的权限以允许 getObject，我不记得将它们放在那里或注意到它们在那里。当我删除这些权限时，我似乎仍然可以访问这些对象，但我实际上是在获取缓存的副本。当删除这些虚假权限并使用完全不同的浏览器时，我验证了我最初发布的策略是正确的。抱歉，添麻烦了。

Answer 2

这完全没问题，尽管您会看到一个指示，表明您的存储桶可以公开访问。您应该注意到，此指示器显示提供了对该存储桶（的某些内容）的公共访问权限。
因此，要检查是否没有问题，您只需测试可公开访问的文件夹之外的文件，并将其与根据您的政策应该可公开访问的文件进行比较。
您可以在下图中看到我已经创建了我的存储桶 (toignore) 的子文件夹，可供公众访问：

这是存储桶的树状视图：

├── 目录
│ ├── toignore
│ │ └── i.txt
└── ni.txt

根据我的政策，i.txt 是可公开访问的，但 ni.txt 不是，并且指示器显示可公开访问。