Donner l'accès des utilisateurs AWS fédérées au seau s3

Question

téléphones mobiles peuvent télécharger leur contenu à notre seau s3 sous un utilisateur IAM en utilisant correctement la politique seau ci-dessous

{ 
    "Version": "2008-10-17", 
    "Id": "redacted", 
    "Statement": [ 
     { 
      "Sid": "redacted", 
      "Effect": "Allow", 
      "Principal": { 
       "AWS": "arn:aws:iam::redacted:user/iam_user" 
      }, 
      "Action": "s3:ListBucketMultipartUploads", 
      "Resource": "arn:aws:s3:::bucket_name" 
     }, 
     { 
      "Sid": "redacted", 
      "Effect": "Allow", 
      "Principal": { 
       "AWS": "arn:aws:iam::202695660434:user/iam_user" 
      }, 
      "Action": [ 
       "s3:AbortMultipartUpload", 
       "s3:GetObject", 
       "s3:ListMultipartUploadParts", 
       "s3:PutObject" 
      ], 
      "Resource": "arn:aws:s3:::bucket_name/uploads/*" 
     } 
    ] 
} 

Je voudrais suivre les meilleures pratiques et permettre aux utilisateurs FEDERATED télécharger depuis un mobile vers ce seau. Comment pourrais-je ajuster la politique? Je peux actuellement créer les fichiers cred de l'utilisateur fédéré, mais je n'arrive pas à le télécharger correctement. Cette politique n'a pas réussi à enregistrer

{ 
    "Version": "2008-10-17", 
    "Id": "redacted", 
    "Statement": [ 
     { 
      "Action": [ 
       "sts:GetFederationToken" 
      ], 
      "Sid": "redacted", 
      "Resource": [ 
       "*" 
      ], 
      "Effect": "Allow" 
     }, 
     { 
      "Sid": "redacted", 
      "Effect": "Allow", 
      "Principal": { 
       "AWS": "arn:aws:iam::redacted:user/iam_user" 
      }, 
      "Action": "s3:ListBucketMultipartUploads", 
      "Resource": "arn:aws:s3:::bucket_name" 
     }, 
     { 
      "Sid": "redacted", 
      "Effect": "Allow", 
      "Principal": { 
       "AWS": "arn:aws:iam::202695660434:user/iam_user" 
      }, 
      "Action": [ 
       "s3:AbortMultipartUpload", 
       "s3:GetObject", 
       "s3:ListMultipartUploadParts", 
       "s3:PutObject" 
      ], 
      "Resource": "arn:aws:s3:::bucket_name/uploads/*" 
     } 
    ] 
} 

Answer 1

Je suis dans la même situation; Où j'ai besoin de certains utilisateurs pour télécharger des fichiers dans un compartiment particulier et certains utilisateurs pour télécharger des données à partir de certains compartiments;

Je prévois d'avoir une fonction lambda qui demandera l'accès de la part de l'utilisateur pour lire/écrire depuis des compartiments spécifiques et leur fournir les fichiers localement. Je ne suis pas sûr que ce soit l'une des meilleures pratiques;

Je vais fournir une sécurité autour de la façon dont la fonction lambda sera appelée.