我可以在 S3 存储桶策略中使用 Cognito 用户池组吗？

Question

所以我只阅读了一半的互联网，我认为我对所有可能的事情都有很好的把握。我的用例仍然有一个问题。

我的要求：我有在 Cognito 中管理的用户，这些用户位于当前仅在我的应用程序中管理的组中。我想仅向该组的成员提供对 S3 存储桶的访问权限。

据我了解，我可以做的是在 Cognito 中管理这些组，向该组添加一个 IAM 角色，然后有一个设置权限的存储桶策略。

根据this documentation，我可以使用${cognito-identity.amazonaws.com:sub} 确保给定用户只能访问S3 中的这个“子文件夹”。文档很少，但除了sub 之外，显然只有aud 和amr 在我的情况下都没有帮助。

Web 上有很多关于细粒度权限的内容，但没有关于组级别权限的内容。显然，群组是一个较新的 Cognito 功能，但只能用于分配 IAM 角色，而不能用于生态系统中的其他功能？

Answer 1

显然没有真正的解决方案。我们现在使用混合方法，使用 Cognito 方式允许每个用户写入权限和每个（自定义）组预签名 S3 链接以允许读取访问。这样我们必须管理应用程序中的读取访问权限，但这至少比手动操作要容易。