Amazon Simple Storage Service

开发人员指南 (API 版本 2006-03-01)

AWS 文档 » Amazon Simple Storage Service (S3) » 开发人员指南 » Amazon S3 安全性 » Amazon S3 中的 Identity and Access Management » 使用存储桶策略和用户策略。 » 访问策略语言概述 » 在策略中指定条件

在策略中指定条件

访问策略语言可使您在授予权限时指定条件。在 Condition 元素 (或 Condition 块) 中，可以指定策略生效的条件。在 Condition 元素（这是可选的）中，您可构建表达式并使用布尔运算符（等于、小于等）将条件与请求中的值进行比对。例如，当授予用户上传对象的权限时，存储桶拥有者可通过添加 StringEquals 条件要求此对象可公开读取，如下所示：

{ 
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "statement1",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws-cn:s3:::examplebucket/*"
      ],
      "Condition": {
        "StringEquals": {
          "s3:x-amz-acl": [
            "public-read"
          ]
        }
      }
    }
  ]
}

Condition 块指定应用于指定的键值对 StringEquals 的 "s3:x-amz-acl":["public-read"] 条件。有一组预定义键可用于表达条件。此示例使用 s3:x-amz-acl 条件键。此条件要求用户包含 x-amz-acl 标头，并且值 public-read 位于每个 PUT 对象请求中。

有关使用访问策略语言来指定条件的更多信息，请参阅 IAM 用户指南 中的条件。

以下主题描述 AWS 范围和 Amazon S3 特定的条件键并提供示例策略。

可用条件键

用于在 Amazon S3 访问策略中指定条件的预定义键可按以下方式分类：

下一节介绍可用于授予针对存储桶和对象操作的条件权限的条件键。此外，还有与 Amazon S3 签名版本 4 身份验证有关的条件键。有关更多信息，请转到 Amazon Simple Storage Service API Reference 中的 Amazon S3 签名版本 4 身份验证特定的策略键。

针对对象操作的 Amazon S3 条件键

下表显示了可对哪些 Amazon S3 操作使用哪些 Amazon S3 条件。在该表之后提供有策略示例。注意下面有关下表中所述的 Amazon S3 特定条件键的内容：

示例 1：授予 s3:PutObject 权限，指定了要求存储桶拥有者获得完全控制的条件

假设账户 A 拥有一个存储桶，而账户管理员想要授予账户 B 中的用户 Dave 上传对象的权限。默认情况下，Dave 上传的对象由账户 B 拥有，而账户 A 对这些对象没有权限。由于存储桶拥有者要支付账单，需要对 Dave 上传的对象具有全部权限。要实现这一目的，账户 A 管理员可向 Dave 授予 s3:PutObject 权限，指定的条件要求请求包含 ACL 特定标头，以及显式授予全部权限或使用标准 ACL (请参阅 PUT 对象)。

示例 2：授予要求使用服务器端加密存储对象的 s3:PutObject 权限

假设账户 A 拥有一个存储桶。账户管理员想要授予账户 A 中的用户 Jane 上传对象的权限，条件是 Jane 始终请求服务器端加密，使 Amazon S3 保存加密的对象。账户 A 管理员可使用所示的 s3:x-amz-server-side-encryption 条件键来完成。Condition 块中的键值对指定 s3:x-amz-server-side-encryption 键。

"Condition": {
     "StringNotEquals": {
         "s3:x-amz-server-side-encryption": "AES256"
     }

当使用 AWS CLI 测试此权限时，必须使用 --server-side-encryption 参数添加所需的参数。

aws s3api put-object --bucket example1bucket --key HappyFace.jpg --body c:\HappyFace.jpg --server-side-encryption "AES256" --profile AccountBadmin

示例 3：授予从限定复制源复制对象的 s3:PutObject 权限

在 PUT 对象请求中，如果指定了源对象，则为一个复制操作（请参阅 PUT 对象 - 复制）。因此，存储桶拥有者可授予用户复制限定于此源上的对象的权限。例如：

以下存储桶策略授予用户 Dave s3:PutObject 权限，此权限要求他复制对象时需满足以下条件：请求中包含 s3:x-amz-copy-source 标头且标头值指定 /examplebucket/public/* 键名前缀。

{
    "Version": "2012-10-17",
    "Statement": [
       {
            "Sid": "cross-account permission to user in your own account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws-cn:iam::AccountA-ID:user/Dave"
            },
            "Action": ["s3:PutObject"],
            "Resource": "arn:aws-cn:s3:::examplebucket/*"
        },
        {
            "Sid": "Deny your user permission to upload object if copy source is not /bucket/folder",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws-cn:iam::AccountA-ID:user/Dave"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws-cn:s3:::examplebucket/*",
            "Condition": {
                "StringNotLike": {
                    "s3:x-amz-copy-source": "examplebucket/public/*"
                }
            }
        }
    ]
}

可使用 AWS CLI copy-object 命令测试此权限。可通过添加 --copy-source 参数指定源，键名前缀必须与策略中允许的前缀相匹配。您需要使用 --profile 参数为用户 Dave 提供凭证。有关设置 AWS CLI 的更多信息，请参阅设置用于示例演练的工具。

aws s3api copy-object --bucket examplebucket --key HappyFace.jpg 
--copy-source examplebucket/public/PublicHappyFace1.jpg --profile AccountADave

注意，上述策略使用 StringNotLike 条件。要授予仅复制特定对象的权限，您必须将条件从 StringNotLike 更改为 StringNotEquals，然后指定所示的对象键。

"Condition": {
       "StringNotEquals": {
           "s3:x-amz-copy-source": "examplebucket/public/PublicHappyFace1.jpg"
       }
}

示例 4：授予对特定对象版本的访问权限

假设账户 A 拥有启用版本控制的存储桶。该存储桶具有 HappyFace.jpg 对象的多个版本。账户管理员现在想要授予用户 (Dave) 仅获得特定对象版本的权限。账户管理员可通过有条件地授予 Dave 所示的 s3:GetObjectVersion 权限来实现这一点。Condition 块中的键值对指定 s3:VersionId 条件键。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "statement1",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws-cn:iam::AccountA-ID:user/Dave"
            },
            "Action": ["s3:GetObjectVersion"],
            "Resource": "arn:aws-cn:s3:::examplebucketversionenabled/HappyFace.jpg"
        },
        {
            "Sid": "statement2",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws-cn:iam::AccountA-ID:user/Dave"
            },
            "Action": ["s3:GetObjectVersion"],
            "Resource": "arn:aws-cn:s3:::examplebucketversionenabled/HappyFace.jpg",
            "Condition": {
                "StringNotEquals": {
                    "s3:VersionId": "AaaHbAQitwiL_h47_44lRO2DDfLlBO5e"
                }
            }
        }
    ]
}

在这种情况下，Dave 需要知道确切的对象版本 ID 才能检索该对象。

可使用 AWS CLI get-object 命令以及标识特定对象版本的 --version-id 参数来测试这些权限。此命令会检索该对象，并将其保存到 OutputFile.jpg 文件。

aws s3api get-object --bucket examplebucketversionenabled --key HappyFace.jpg OutputFile.jpg --version-id AaaHbAQitwiL_h47_44lRO2DDfLlBO5e --profile AccountADave

示例 5：将上传对象限制为具有特定存储类的对象

假设账户 A 拥有一个存储桶。账户管理员想要限制 Dave (账户 A 中的一名用户) 只能将使用 STANDARD_IA 存储类存储的对象上传到此存储桶。账户 A 管理员可以借助 s3:x-amz-storage-class 条件键达到这一目的，如下面的示例存储桶策略所示。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "statement1",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws-cn:iam::AccountA-ID:user/Dave"
      },
      "Action": "s3:PutObject",
      "Resource": [
        "arn:aws-cn:s3:::examplebucket/*"
      ],
      "Condition": {
        "StringEquals": {
          "s3:x-amz-storage-class": [
            "STANDARD_IA"
          ]
        }
      }
    }
  ]
}

针对存储桶操作的 Amazon S3 条件键

下表显示了可在策略中授予的存储桶操作特定权限列表，并且对于其中的每个权限，该表还显示了可用于指定条件的可用键。

示例 1：允许用户创建存储桶，但仅在特定区域内创建

假定 AWS 账户管理员想要授予其用户 (Dave) 仅在 南美洲（圣保罗） 区域创建存储桶的权限。账户管理员可附加以下用户策略，授予附带条件的 s3:CreateBucket 权限，如下所示。Condition 块中的键值对指定 s3:LocationConstraint 键，以 sa-east-1 区域作为值。

有关 Amazon S3 区域的列表，请转至 Amazon Web Services 一般参考 中的区域和终端节点。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"statement1",
         "Effect":"Allow",
         "Action":[
            "s3:CreateBucket"
         ],
         "Resource":[
            "arn:aws-cn:s3:::*"
         ],
         "Condition": {
             "StringLike": {
                 "s3:LocationConstraint": "sa-east-1"
             }
         }
       }
    ]
}

此策略限制用户只能在 sa-east-1 区域创建存储桶。但有可能别的策略授予了此用户在其他区域创建存储桶的权限。例如，如果用户属于一个组，该组可能被附加了一个策略，使得该组中的所有用户都有权在其他某个区域创建存储桶。要确保此用户不会获得在其他任何区域创建存储桶的权限，可在该策略中添加一个显式拒绝语句。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"statement1",
         "Effect":"Allow",
         "Action":[
            "s3:CreateBucket"
         ],
         "Resource":[
            "arn:aws-cn:s3:::*"
         ],
         "Condition": {
             "StringLike": {
                 "s3:LocationConstraint": "sa-east-1"
             }
         }
       },
      {
         "Sid":"statement2",
         "Effect":"Deny",
         "Action":[
            "s3:CreateBucket"
         ],
         "Resource":[
            "arn:aws-cn:s3:::*"
         ],
         "Condition": {
             "StringNotLike": {
                 "s3:LocationConstraint": "sa-east-1"
             }
         }
       }
    ]
}

Deny 语句使用 StringNotLike 条件。即，如果位置约束不是 "sa-east-1"，则创建存储桶的请求将被拒绝。显式拒绝不允许用户在其他任何区域创建存储桶，无论该用户获得了哪种其他权限。

可使用以下 create-bucket AWS CLI 命令测试此策略。此示例使用 bucketconfig.txt 文件来指定位置约束。记下此 Windows 文件路径。您需要更新相应的存储桶名称和路径。必须使用 --profile 参数提供用户凭证。有关设置和使用 AWS CLI 的更多信息，请参阅设置用于示例演练的工具。

aws s3api create-bucket --bucket examplebucket --profile AccountADave --create-bucket-configuration file://c:/Users/someUser/bucketconfig.txt

bucketconfig.txt 文件指定配置，如下所示：

{"LocationConstraint": "sa-east-1"}

示例 2：允许用户根据特定前缀获取存储桶中的对象的列表

存储桶拥有者可限定用户仅列出存储桶中特定文件夹的内容。如果存储桶中的对象按键名前缀组织，这非常有用。Amazon S3 控制台然后使用这些前缀显示文件夹的层级结构（仅控制台支持文件夹概念；Amazon S3 API 仅支持存储桶和对象）。

在该示例中，存储桶拥有者和用户所属的父账户相同。因此存储桶拥有者可使用存储桶策略或用户策略。首先，我们显示用户策略。

以下用户策略授予 s3:ListBucket 权限（请参阅 GET Bucket（列出对象）），条件为要求用户在请求中指定值为 projects 的 prefix。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"statement1",
         "Effect":"Allow",
         "Action":[
            "s3:ListBucket"
         ],
         "Resource":[
            "arn:aws-cn:s3:::examplebucket"
         ],
         "Condition" : {
             "StringEquals" : {
                 "s3:prefix": "projects" 
             }
          } 
       },
      {
         "Sid":"statement2",
         "Effect":"Deny",
         "Action":[
            "s3:ListBucket"
         ],
         "Resource":[
            "arn:aws-cn:s3:::examplebucket"
         ],
         "Condition" : {
             "StringNotEquals" : {
                 "s3:prefix": "projects" 
             }
          } 
       }         
    ]
}

此条件将用户限定于列出具有 projects 前缀的对象键。添加的显式拒绝将拒绝用户列出具有其他任何前缀的键，无论该用户可能具有其他什么权限。例如，该用户有可能获得列出没有任何限制的对象键的权限，例如通过更新先前用户策略或通过存储桶策略。但由于显式拒绝始终会取代其他任何权限，因此列出非 project 前缀的键的用户请求会被拒绝。

上述策略为用户策略。如果将 Principal 元素添加到该策略，从而标识用户，则现在您拥有了所示的存储桶策略。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"statement1",
         "Effect":"Allow",
         "Principal": {
            "AWS": "arn:aws-cn:iam::BucketOwner-accountID:user/user-name"
         },  
         "Action":[
            "s3:ListBucket"
         ],
         "Resource":[
            "arn:aws-cn:s3:::examplebucket"
         ],
         "Condition" : {
             "StringEquals" : {
                 "s3:prefix": "examplefolder" 
             }
          } 
       },
      {
         "Sid":"statement2",
         "Effect":"Deny",
         "Principal": {
            "AWS": "arn:aws-cn:iam::BucketOwner-AccountID:user/user-name"
         },  
         "Action":[
            "s3:ListBucket"
         ],
         "Resource":[
            "arn:aws-cn:s3:::examplebucket"
         ],
         "Condition" : {
             "StringNotEquals" : {
                 "s3:prefix": "examplefolder" 
             }
          } 
       }         
    ]
}

可使用以下 list-object AWS CLI 命令测试此策略。在该命令中，使用 --profile 参数提供用户凭证。有关设置和使用 AWS CLI 的更多信息，请参阅设置用于示例演练的工具。

aws s3api list-objects --bucket examplebucket --prefix examplefolder --profile AccountADave

现在，如果该存储桶启用了版本控制，要列出该存储桶中的对象，必须在上述策略中授予 s3:ListBucket 权限，而不是 s3:ListBucketVersions 权限。此权限还支持 s3:prefix 条件键。

本页内容：

• 可用条件键
• 针对对象操作的 Amazon S3 条件键
• 针对存储桶操作的 Amazon S3 条件键