无法为 AWS S3 数据传输创建访问密钥

Question

我最近开始使用 AWS S3 存储桶并遇到一些问题，因为我想使用 Boto I Python 将文件从 S3 存储桶传输到另一台服务器。

当我尝试为 API 创建访问密钥和秘密密钥时，访问时出现错误，我没有创建访问密钥的权限。

我正在尝试更改政策，如下所示，但出现错误：

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "AllowPublicRead",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::s3-sample/*"
        },
        {
            "Sid": "ViewAndUpdateAccessKeys",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "iam:UpdateAccessKey",
                "iam:CreateAccessKey",
                "iam:ListAccessKeys"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}"
        }
        
    ]
}

这会导致以下错误：

Policy has invalid action

有人能指出如何正确设置策略，以便能够创建 API 访问密钥以及将文件传输到另一台服务器吗？

谢谢。

Answer 1

IAM identity-Based Policies 没有原则。当您将策略附加到 IAM 用户、角色或组时，将自动推导出它们的原则。

但是，在我看来，您正在创建bucket policies，它具有原则。但是，存储桶策略不适用于iam:* 权限。这可以解释你的错误。

因此，我认为您应该将存储桶策略保留在其原始状态：

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "AllowPublicRead",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::s3-sample/*"
        }        
    ]
}

并创建IAM customer managed policy，您可以将其附加到需要它的 IAM 用户：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewAndUpdateAccessKeys",
            "Effect": "Allow",
            "Action": [
                "iam:UpdateAccessKey",
                "iam:CreateAccessKey",
                "iam:ListAccessKeys"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}"
        }
    ]
}