Проблемы политики AWS IAM, записывающие в корзину s3 для предупреждений Grafana

Question

Имеются некоторые проблемы с разрешениями AWS и политиками для grafana, чтобы иметь возможность загружать изображения. Сначала я попробовал с пользовательской политикой, привязанной к моему пользователю, в соответствии с требованиями здесь https://grafana.com/docs/installation/configuration/#access-key.

Вот политика:

custom policy with locked down permissions and bucket name
{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:PutObjectAcl"
        ],
        "Resource": "arn:aws:s3:::myclient-grafana-images"
    }
]
}

Это, к сожалению, не сработало, и я вижу ошибку отказа в доступе в моих логах графана Пользователь пытается записать образ в корзину и в итоге добавляет предопределенную политику AWS для полного доступа s3. Это удалось заставить его работать

s3 full access policy
{
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "Action": "s3:*",
        "Resource": "*"
    }
]
}

Вопрос в том, чтобы попытаться заблокировать политику только для того места, которое мне нужно. Я попытался создать новую политику с политикой полного доступа и обновил подстановочный знак для ссылки на s3 arn, но это тоже не сработало.

Любые предложения о наилучшем способе блокировки политик.

Answer 1

Действия PutObject и PutObjectAcl работают с объектами, а не с контейнерами.

Это означает, что ваша клавиша Resource должна представлять объекты .ARN для объектов начинается с имени сегмента, но за ним следуют / и путь.

Вы должны адаптировать свою политику следующим образом, если хотите иметь возможность поместить любой объект в корзину (примечание/*):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl"
      ],
      "Resource": "arn:aws:s3:::myclient-grafana-images/*"
    }
  ]
}