Seau ACL S3 non stocké avec Cloudformation

Question

Avec Cloudformation, pouvez-vous définir le groupe Utilisateurs authentifiés comme ayant mis/supprimé le contrôle d'accès lors de la création d'un compartiment S3?

Answer 1

Ce n'est pas possible avec la formation initiale et respectivement limitée Access Control Lists (ACL) de Amazon S3, où seuls les Canned ACLs prédéfinis sont disponibles pour une utilisation avec le AWS resource types soutenu par AWS CloudFormation à son tour, voir la propriété AccessControl de la ressource AWS::S3::Bucket:

Une ACL standard qui accorde des autorisations prédéfinies sur le compartiment. La valeur par défaut est . Pour plus d'informations sur les ACL standardisées, voir Canned ACLs in the Amazon S3 documentation.

Valeurs valides pour AccessControl: Privé | PublicRead | PublicReadWrite | AuthenticatedRead | BucketOwnerLire | BucketOwnerFullControl

En supposant que vous ne voulez pas donner put/supprimer l'accès à tous S3 utilisateurs en fait (que le groupe utilisateurs authentifiées implique en fait à la grande surprise du développeur pas au courant S3), mais seulement à la utilisateurs de votre propre compte (ou d'un ensemble bien connu de) compte (s) comme d'habitude pour la plupart des cas d'utilisation, vous pouvez atteindre votre objectif en utilisant S3 Bucket Policies à la place.

Le Example Cases for Amazon S3 Bucket Policies fournir une politique d'exemple pour autorisations d'octroi aux comptes multiples avec Ajouté Restrictions, qui accorde PutObject et autorisations PutObjectAcl à plusieurs comptes et exige que la figure publique lire acl conserve - du décapage au demandés défini et le transformer en un extrait de modèle de CloudFormation rapporterait ce qui suit à peu près (vous aurez besoin d'ajuster le principal à votre compte (s) bien sûr):

"Resources" : { 
    "S3Bucket" : { 
    "Type" : "AWS::S3::Bucket" 
    }, 
    "BucketPolicy" : { 
    "Type" : "AWS::S3::BucketPolicy", 
    "Properties" : { 
     "PolicyDocument": { 
     "Id"   : "Grant access to all account users", 
     "Statement" : [{ 
      "Sid"  : "PutObjectAccess", 
      "Action"  : ["s3:PutObject"], 
      "Effect"  : "Allow", 
      "Resource" : { "Fn::Join" : ["", ["arn:aws:s3:::", {"Ref" : "S3Bucket"} ]]}, 
      "Principal" : { "AWS": ["arn:aws:iam::111122223333:root","arn:aws:iam::444455556666:root"] } 
     }] 
     }, 
     "Bucket" : {"Ref" : "S3Bucket"} 
    } 
    }, 
}, 

S'il vous plaît être conscient de la p les différences de Using ACLs and Bucket Policies Together dans le cas.