为 Amazon S3 编写 IAM 策略和 CORS 配置

Question

我对这一切都很陌生，但能够让头像/图像上传器在我的 Rails 应用程序中工作。用户可以将新头像上传到我的 S3 存储桶，并且头像会显示在 Web 应用程序中。

为此，我不得不向用户授予“AmazonS3FullAccess”策略。这似乎有点过分，因为来自应用程序的用户只需要写入（上传他的头像）和读取（在网页上显示头像）权限。

您是否同意编写自定义策略比使用 AmazonS3FullAccess 更好？ 如果是这样，我已经尝试了下面的策略代码（从here 采用），但这不起作用（尝试上传头像图像时出现 403 禁止错误）。任何建议如何更正此代码？

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": ["arn:aws:s3:::mybucket"]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:DeleteObject"
      ],
      "Resource": ["arn:aws:s3:::mybucket/*"]
    }
  ]
}

Answer 1

我已经长出了白头发，试图找出正确的配置。这是对我有用的一个：

{
    "Statement": [
        {
            "Sid": "AllowPublicRead",
            "Action": [
                "s3:ListBucket",
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:DeleteObject"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::mybucket/*",
                "arn:aws:s3:::mybucket"
            ]
        }
    ]
}

此政策应附加到适当的实体（“附加实体选项卡”），该实体可以是专用用户。如果您需要 API/访问密钥，请前往该用户的“安全凭证”选项卡并生成一些。这使您可以更好地控制谁在使用该策略。

您还可以编辑此策略以允许匿名访问，方法是指定“Principal”：“*”，如 cmets 中 @therealprashant 所建议的那样，请参阅 the docs 了解更多信息。

但您还需要设置 CORS 配置。 打开S3 console，单击您的存储桶，显示其属性（右侧面板）并单击权限，您将能够编辑配置。

<?xml version="1.0" encoding="UTF-8"?>
<CORSConfiguration xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
    <CORSRule>
        <AllowedOrigin>http://*.example.com</AllowedOrigin>
        <AllowedMethod>GET</AllowedMethod>
        <AllowedMethod>POST</AllowedMethod>
        <AllowedMethod>PUT</AllowedMethod>
        <MaxAgeSeconds>3000</MaxAgeSeconds>
        <AllowedHeader>*</AllowedHeader>
    </CORSRule>
    <CORSRule>
        <AllowedOrigin>http://example.com</AllowedOrigin>
        <AllowedMethod>GET</AllowedMethod>
        <AllowedMethod>POST</AllowedMethod>
        <AllowedMethod>PUT</AllowedMethod>
        <MaxAgeSeconds>3000</MaxAgeSeconds>
        <AllowedHeader>*</AllowedHeader>
    </CORSRule>
</CORSConfiguration>

根据需要添加尽可能多的 CORSRule，尤其是在您还需要 https 的情况下。

希望这会有所帮助。

编辑

这是我现在实际使用的修改版本。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:ListBucket",
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:DeleteObject",
                "s3:GetObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::mybucket/*",
                "arn:aws:s3:::mybucket"
            ]
        }
    ]
}

注意：在附加到 IAM 用户、组或角色的 IAM 策略中，可以省略“主体”（就像我在此处所做的那样）。在授权期间，“主体”被评估为策略附加到的实体。