Условный доступ к политике AWS S3 на основе параметров запроса - PullRequest
Новая
       15

Условный доступ к политике AWS S3 на основе параметров запроса

0 голосов
/ 17 июня 2019

Я пытаюсь использовать одного пользователя IAM для условного доступа к нескольким сегментам S3. Условие должно быть примерно таким: чтобы получить getObject, я могу отправить дополнительный параметр или токен в запросе, который проверяет мой доступ к этому сегменту.

Я пытался использовать авторизацию на основе тегов для s3 с условием 

"Condition": {
               "StringEquals": {
                    "aws:ExistingObjectTag/token": "value"
                }
            }

может ли это значение быть динамическим, чтобы я мог получить доступ к объектам на основе тегов от одного пользователя IAM?

1 Ответ

1 голос
/ 17 июня 2019

Похоже, вы хотите иметь возможность предоставить пользователю IAM доступ к определенным объектам.

Показанный вами метод (предположительно из Пометка объектов - Amazon Simple Storage Service ) - это способ предоставления доступа к объектам с определенной комбинацией «ключ / значение тега». Итак, если у объекта есть этот тег, он может получить к нему доступ.

Ваше предложение о предоставлении "токена в запросе, который проверяет мой доступ к этому сегменту", не очень хорошо для безопасности, так как любой может получить к нему доступ, если он знает токен. Это было бы немного похоже на использование трудно угадываемых имен файлов, что не является хорошей формой безопасности.

Наиболее близким к вашему желанию является предварительно подписанный URL , который является ограниченным по времени URL, который предоставляет временный доступ к частным объектам. Обычно пользователи взаимодействуют с приложением. Когда пользователь запрашивает доступ к объекту, приложение может создать предварительно подписанный URL-адрес. Например, вы можете использовать сервис обмена фотографиями, который имеет общедоступные и личные фотографии. Если вы хотите просмотреть одну из ваших личных фотографий, приложение может создать URL-адрес, который предоставляет доступ в течение ограниченного времени (например, 5 минут). После истечения срока действия ссылка больше не работает.

См .: Совместное использование объекта с другими - Amazon Simple Storage Service

...