Question

希望这是一个快速简单的问题。以下是在A桶的cfn模板中设置bucketpolicy的示例。

"mybucketpolicy" : {
   "Type" : "AWS::S3::BucketPolicy",
   "Properties" : {
      "PolicyDocument" : {
         "Id" : "MyPolicy",
         "Statement" : [ {
            "Sid" : "ReadAccess",
            "Action" : [ "s3:GetObject" ],
            "Effect" : "Allow",
            "Resource" : { "Fn::Join" : [
                  "", [ "arn:aws:s3:::", { "Ref" : "mybucket" } , "/*" ]
               ] },
            "Principal" : {
               "AWS" : { "Fn::GetAtt" : [ "mygroup", "Arn" ] }
            }
         } ]
      },
      "Bucket" : { "Ref" : "mybucket" }
      }
   }
}

如果我想将策略应用到另一个存储桶，除了mybucket之外，我该怎么做？

我必须： 1.创建一个全新的bucketpolicy让我们说'mybucketpolicy2'与上面的内容非常相似？ 2.只需使用新的存储桶名称向上面的“Statement”数组添加一个项目？如果是，那么这将与上面的“Bucket”键冲突，不是吗？ 3.其他一些方式？

非常感谢任何帮助。

- 苏

PS：我在aws cfn论坛上问了同样的问题，但我已经意识到我在SO上比在aws论坛上得到的答案更快。

Answer 1

您无法将AWS :: S3 :: BucketPolicy资源附加到多个存储桶。要将策略附加到多个资源，您需要使用IAM资源。 AWS::IAM::Policy资源用于通过IAM管理定义策略并将其应用于各种资源。在我看来，IAM界面比旧式策略资源更强大，更灵活（但更复杂）。您不仅可以将单个策略应用于多个存储桶，还可以将多个策略（语句）应用于多个存储桶并分配给多个IAM用户/组/角色。

您可以使用IAM组或可以使用例如在您的CloudFormation模板中创建的用户授予对特定策略的访问权限。 AWS :: IAM ::组资源。

根据您的需要调整此代码段：

"GetS3ContentPolicy" : {
  "Type" : "AWS::IAM::Policy",
  "Properties" : {
    "PolicyName" : "S3ContentPolicy",
    "PolicyDocument" : {
      "Statement" : [ {
        "Effect" : "Allow",
        "Action" : [
          "s3:ListBucket"
        ],
        "Resource" : [ 
          { "Fn::Join" : ["", [ "arn:aws:s3:::", { "Ref" : "PubS3Bucket" } ] ] },
          { "Fn::Join" : ["", [ "arn:aws:s3:::", { "Ref" : "SecretS3Bucket" } ] ] }
        ]
      },
      {
        "Effect" : "Allow",
        "Action" : [
          "s3:GetObject",
          "s3:GetObjectVersion"
        ],
        "Resource" : [ 
          { "Fn::Join" : ["", [ "arn:aws:s3:::", { "Ref" : "PubS3Bucket" }, "/*" ] ] },
          { "Fn::Join" : ["", [ "arn:aws:s3:::", { "Ref" : "SecretS3Bucket" }, "/*" ] ] }
        ]
      } ]
    },
    "Groups" : [
      { "Ref" : "ManagementInstancesGroup" },
      { "Ref" : "WebInstancesGroup" }
    ]
  }
},

如何在cfn模板中的bucketpolicy中指定多个存储桶？

1 个答案: