S3：存儲桶不能被其root帳戶訪問？

授予S3的權限是相當複雜的。據我瞭解，根帳戶（用電子郵件登錄）應該有權訪問任何東西，除了不屬於它的存儲桶中的對象（情況並非如此）。S3：存儲桶不能被其root帳戶訪問？

我的設置：

> a root account, called: myroot a IAM user, called myiam, whose parent 
> account is myroot

myiam創建一個水桶，叫mybucket。未授予權限，myroot無法訪問它。

我擡頭AWS的文檔（http://docs.aws.amazon.com/AmazonS3/latest/dev/access-control-overview.html），認爲不應該是這樣的

默認情況下，所有的Amazon S3資源是私有的。只有資源所有者才能訪問資源。資源所有者引用創建資源的AWS賬戶。例如：

用於創建存儲桶和對象的AWS賬戶擁有這些資源。如果您在您的AWS賬戶中創建AWS Identity and Access Management（IAM）用戶，那麼您的AWS賬戶就是所有者。如果 IAM用戶上載對象，則用戶所屬的父帳戶擁有該對象。

來源

2016-01-22 Hello lad

你會得到什麼錯誤？ 403被拒絕？ – Tom

@湯姆不確定。我使用了控制檯。它說：「對不起！您沒有權限查看這個存儲桶」 –

看看您是否對存儲桶本身有正確的權限，也許你有一個明確的「拒絕」的S3存儲桶。看到我對以下鏈接的回答，我描述了訪問S3存儲桶，也許這是檢查：http://stackoverflow.com/questions/31730317/403-access-denied-error-for-files-uploaded-to -s3-using-aws-command-line-tool/31790746＃31790746 – Tom

它應該工作得很好。

我做了以下測試您的情況：

登錄爲IAM用戶（使用賬戶，用戶名，密碼）
創建一個水桶在上傳對象控制檯
（其保持默認私有）
記錄到一個root帳戶（使用的電子郵件地址，密碼，MFA）
我能夠在控制檯中查看桶的內容
我能夠查看上傳對象的內容（使用Actions -> Open生成一個帶符號的URL）

來源

2016-01-23 03:45:49

這是真的，因爲在創建了一個存儲桶之後，默認的被授權者被設置爲root賬戶，所有者也是root賬戶。但是如果你刪除這個默認的被授予者，那麼只有存儲桶的創建者（在這種情況下是你的IAM用戶）可以訪問它，甚至不是作爲根帳戶的所有者。這是令我困惑的一點 –

啊！現在我明白了。是的......當移除「受贈者」選項將停止root帳戶訪問時，root帳戶可以再次添加訪問權限，因此可以訪問存儲桶。無法阻止root帳戶添加自己的訪問權限。 –

你是完全正確的。感謝您的啓發 –

S3：存儲桶不能被其root帳戶訪問？

回答

相關問題