Как назначить доступ к ведро S3 для пользователей AWS и CF?

Question

Я пытаюсь настроить распределение облачного фронта для своего ведра S3. В то же время, что ведро S3 используется разными пользователями, и для этих пользователей настраивается политика ведра. Я хочу настроить облачный дистрибутив для совершенно другого пользователя X.

Я создал дистрибутив, добавил пользователя X к доверенному подписчику. Теперь я понимаю, что мне нужно создать идентификатор доступа источника и изменить политику ведра, чтобы предоставить доступ к этому удостоверению, чтобы CF мог получить доступ к этому ведру.

Я хочу удостовериться, что я не отвлекаю доступ к ведро S3 от пользователей, которые уже имеют его, и дают разрешение CF для доступа к этому ведру. Я изменил политику ведра, как показано ниже. Правильно ли это?

{ 
"Version": "2012-10-17", 
"Statement": [ 
{ 
"Sid": “1”, 
"Effect": "Allow", 
"Principal": { 
"AWS": "arn:aws:iam::12345678:root" 
}, 
"Action": "s3:GetObject", 
"Resource": "arn:aws:s3:::AAAAAAA/*” 
}, 
{ 
"Sid": "2", 
"Effect": "Allow", 
"Principal": { 
"AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin   Access Identity ABCDEFGHI” 
}, 
"Action": "s3:GetObject", 
"Resource": "arn:aws:s3:::AAAAAAA/*” 
} 
] 
} 

Answer 1

Да, это кажется правильным.

IAM политики (включая политику ковшовых), обрабатываются с помощью этой логики:

• отклонить запрос, если любое заявление соответствия политики отрицает действие; в противном случае, продолжить:
• разрешить запрос, если любое соответствующее политическое заявление разрешает действие; в противном случае, по-прежнему:
• отклонить запрос

В данном случае, некоторые запросы соответствуют одно заявление, некоторые матч с другой стороны, и в обоих случаях, запрос разрешен. Любой запрос, соответствующий ни одному из операторов, будет неявным образом лишен.

Где некоторые люди подставляли является не вполне понимая тот факт, что не соответствия отрицать утверждение когда-либо переопределен сопоставления позволяют, но каждый соответствия позволяют утверждение всегда переопределен согласования отрицают , Ваши заявления не отрицают, так что это не проблема.

Отметьте также, что все заявления проверены, поэтому порядок объявлений объявлений не важен.

Порядок оценки политики не влияет на результат оценки. Все политики оцениваются, и результат всегда заключается в том, что запрос разрешен или запрещен.

http://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html