Amazon S3 : restreindre la gestion à un compartiment S3 spécifique

Cet exemple montre comment vous pouvez créer une politique basée sur l'identité qui limite la gestion d'un compartiment Amazon S3 à ce compartiment spécifique. Cette politique accorde l'autorisation d'effectuer toutes les actions Amazon S3, mais refuse l'accès à tous les Service AWS, à l'exception d'Amazon S3. Consultez l'exemple suivant. Selon cette politique, vous ne pouvez accéder qu'aux actions Amazon S3 que vous pouvez effectuer sur un compartiment S3 ou une ressource objet S3. Cette politique accorde les autorisations nécessaires pour réaliser cette action de manière programmatique à partir de l'API AWS ou de l'AWS CLI. Pour utiliser cette politique, remplacez le texte de l'espace réservé en italique dans l'exemple de politique par vos propres informations de ressource. Ensuite, suivez les instructions fournies dans create a policy (créer une politique) ou edit a policy (modifier une politique).

Si cette politique est utilisée en association avec d'autres politiques (comme les politiques gérées par AWS AmazonS3FullAccess ou AmazonEC2FullAccess) qui permettent des actions refusées par cette politique, l'accès est refusé. En effet, une instruction de refus explicite est prioritaire dans l'autorisation des instructions. Pour plus d’informations, veuillez consulter Identification d'une demande autorisée ou refusée dans un compte.

Avertissement

NotAction et NotResource sont des éléments de politique avancée qui doivent être utilisés avec précaution. Cette politique refuse l'accès à chaque service AWS, à l'exception d'Amazon S3. Si vous attachez cette politique à un utilisateur, toutes les autres politiques qui accordent des autorisations aux autres services sont ignorées et l'accès est refusé.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::bucket-name",
                "arn:aws:s3:::bucket-name/*"
            ]
        },
        {
            "Effect": "Deny",
            "NotAction": "s3:*",
            "NotResource": [
                "arn:aws:s3:::bucket-name",
                "arn:aws:s3:::bucket-name/*"
            ]
        }
    ]
}