为单个允许堆叠的桶提供适当的AWS IAM策略

50次阅读

没有评论

问题描述

在一个构建项目中，用户需要将数据导入多个S3桶中。每个客户都需要对其专用的桶具有读写权限。为此，用户已经创建了一个策略，并想知道如何将其应用于每个桶，以及如何为使用Athena查询数据的分析师设置合适的访问权限。

解决方案

请注意以下操作可能因版本变化而有所不同，操作前请做好备份。

使用适当的IAM策略来实现桶级访问控制

在AWS中，可以通过适当的IAM策略来实现桶级别的访问控制。您可以为每个桶创建一个特定的IAM策略，然后将这些策略分配给IAM用户或角色，以控制他们对特定桶的访问权限。

以下是一个示例的IAM策略，用于为每个桶提供读写权限，并且不会干扰到其他桶：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "BucketOperations",
            "Effect": "Allow",
            "Action": "s3:ListBucket*",
            "Resource": "arn:aws:s3:::<bucketname>"
        },
        {
            "Sid": "ObjectOperations",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject*",
                "s3:GetObject*",
                "s3:PutObject*"
            ],
            "Resource": "arn:aws:s3:::<bucketname>/*"
        }
    ]
}

避免使用Deny规则

在IAM策略中，Deny规则可能会导致预期之外的访问问题。在这种情况下，您不必使用Deny规则来限制访问，因为默认情况下，未明确允许的请求都会被拒绝。如果您想要更多的控制，可以使用Allow规则。

为分析师设置适当的权限

对于使用Athena查询数据的分析师，您可以创建一个特定的IAM策略，以允许他们访问Athena以及他们所需的结果桶。以下是一个示例的IAM策略，可以用作参考：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AthenaAccess",
            "Effect": "Allow",
            "Action": [
                "athena:StartQueryExecution",
                "athena:GetQueryExecution",
                "athena:GetQueryResults"
            ],
            "Resource": "*"
        },
        {
            "Sid": "S3BucketAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject*",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::<athena-results-bucket>",
                "arn:aws:s3:::<athena-results-bucket>/*"
            ]
        }
    ]
}

在上述示例中，<athena-results-bucket>应该替换为您的Athena结果桶的ARN。