aws cognito - 允许群聊参与者访问 s3 存储桶

Question

我正在实现一个支持群聊的 iOS 应用，用户可以在其中添加照片和其他文件。

决定使用 AWS S3 作为存储后端，使用 Cognito Federated Identities 对上传/下载进行身份验证 - 向/从 S3 抽取数据，而不是通过我们的服务器。

到目前为止

我的实现允许用户/身份上传和下载到他们自己的 S3 存储桶上的文件夹（示例策略 arn:aws:s3:::mybucket/users/${cognito-identity.amazonaws.com:sub}/* 变量是 identityID/user_id）。

然而

我无法找到一种安全方式，仅允许群聊中的参与者从 S3 上的群聊文件夹上传/下载。

有什么想法吗？

关于可能流程的一些想法：

1. 首先，用户上传照片到自己的文件夹，[我知道怎么做]
2. 然后，系统将照片复制到群聊文件夹中[我知道怎么做]
3. 将群组聊天文件夹与参与者的身份相关联 [不确定如何 - 可能有数千个群组和参与者]
   • 编辑 1：正如@MyStackRunnethOver 建议的那样，可以使用一个 IAM 角色/凭据来管理用户（属于所述组）的所有上传/下载请求 [重大安全问题，如果凭据泄露]。
4. 编辑 1：可以使用预签名 URL：文件上传到用户自己的文件夹，预签名 URL 存储在群聊条目中 [尽管最大 url-life 7 天]
   • 客户端缓存有助于参与者频繁加入/离开群组
   • 需要服务器端计划作业来更新过期的预签名 URL

任何赞扬/想法表示赞赏

Answer 1

您的问题归结为：

“鉴于用户是组的一部分，我如何根据组成员身份授予用户访问组特定子目录的权限？”

在我看来，你有两个选择：

1. 为每个用户提供他们所属的所有目录的“密钥”。这可能意味着为每个组的该用户添加权限，或者为他们提供对每个组的新 IAM 角色的访问权限。这就是“想出一种为 S3 提供细粒度权限的方法”的策略。

2. 不要分发任何特定于目录的密钥。相反，当用户请求某个目录时，请检查他们是否在该目录所属的组中。这就是“围绕 S3 构建细粒度数据存储系统”的策略。

我推荐后一种方法，因为您不是为每个用户或每个组拥有一个 IAM 角色或一个凭据，而是为所有您的用户提供一个凭据：向您的 S3 包装器发出请求所需的凭据.如果您跟踪您的用户所在的组，您的包装器需要做的就是检查user -> groups 映射以查看是否应满足请求。前端可以使用相同的映射来美化 UI：用户只能看到从他们所属的组上传/下载的选项。在这种情况下，我会将映射设想为一个 Dynamo 表，每当用户注册、加入组、离开组或删除其帐户时，该表都会更新。您可以通过用户的 Cognito 凭据来识别您的用户，其中包括特定于用户的字段。