放置存储桶策略时访问被拒绝

Question

我正在尝试使用以下规则将存储桶策略放在 S3 存储桶上。我在这样做时收到错误access denied。

{
        "Sid": "Deny bucket/policy delete",
        "Effect": "Deny",
        "Principal": "*",
        "Action": [
            "s3:DeleteBucket",
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy"
        ],
        "Resource": "arn:aws:s3:::mybucket",
        "Condition": {
            "ArnNotEquals": {
                "aws:PrincipalArn": "arn:aws:iam::<account-id>:role/role_name"
            }
        }
    }

我可以对账户中的其他存储桶设置相同的规则，因此可以确认 IAM 角色具有权限。

我可以在此存储桶上放置其他规则，因此可以确认有权在此存储桶上放置策略。我也可以删除存储桶策略。成功的规则之一如下：

{
        "Sid": "Deny http access",
        "Effect": "Deny",
        "Principal": "*",
        "Action": "s3:*",
        "Resource": "arn:aws:s3:::mybucket/*",
        "Condition": {
            "Bool": {
                "aws:SecureTransport": "false"
            }
        }
    }

成功的规则是针对bucket/*

失败的规则在存储桶上。

如果 IAM 角色不限制其他可能是什么问题？不知道我错过了什么。请提出建议。

ACL 截图：

Answer 1

我将首先提到您正在添加一个“危险的”存储桶策略，如果您弄错了，您将只能通过使用 root 登录来删除它。这是因为如果编码不正确，它可能会拒绝所有人接触存储桶策略。

您可以使用NotPrincipal，而不是使用条件。见：AWS JSON Policy Elements: NotPrincipal

另外，检查Block S3 Public Access的设置，它可以阻止桶策略的创建。