S3安全策略似乎没有任何效果

Question

我正在尝试使用S3作为maven repo。我创建了2个用于写入和读取的IAM用户，并使用策略生成器创建了以下存储桶策略，我将其添加到存储桶中。

{
    "Id": "Policy1442851625435",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1442851437396",
            "Action": "s3:*",
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::closeup-maven/*",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::642063966117:user/maven-write"
                ]
            }
        },
        {
            "Sid": "Stmt1442851517972",
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::closeup-maven/*",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::642063966117:user/maven-read"
                ]
            }
        },
        {
            "Sid": "Stmt1442851587864",
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::closeup-maven",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::642063966117:user/maven-write",
                    "arn:aws:iam::642063966117:user/maven-read"
                ]
            }
        }
    ]
}

[匿名]

当我运行策略模拟器时，我被两个用户拒绝。

当我进入存储桶并为所有内容设置Everyone访问权限时，当我使用这两个用户进行测试时，我仍然在策略模拟器中被拒绝。

我错过了什么？

Answer 1

我注意到IAM策略模拟器中的免责声明表示它没有考虑附加到资源的策略，例如您的存储桶策略。也许如果您将策略单独附加到IAM用户，模拟器将评估它们。

  

此操作属于支持附加到资源的访问控制机制的服务。策略模拟器不会对这些机制建模，因此生产环境中的结果可能会有所不同。