12

Cognito ユーザーが S3 バケットに書き込むことを許可する IAM ポリシーを作成しましたが、Cognito ID に基づいてフォルダーに書き込みを制限したいと考えています。ここでAmazon の指示に従い、次のようなポリシーを作成しました。

{
    "Effect": "Allow",
    "Action": ["s3:PutObject","s3:GetObject"],
    "Resource": [
        "arn:aws:s3:::mybucket/myappfolder/${cognito-identity.amazonaws.com:sub}*"
    ]
}

しかし、AWS iOS SDK の v2 を使用してアップロードしようとすると、アクセス拒否エラーが発生します。

リソースの最後のパス コンポーネントを変更して、SDK から取得し${cognito-identity.amazonaws.com:sub}た明示的な値に置き換えると、機能します。identityIdAWSCognitoCredentialsProvider

{
    "Effect": "Allow",
    "Action": ["s3:PutObject","s3:GetObject"],
    "Resource": [
        "arn:aws:s3:::mybucket/myappfolder/us-east-1:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx*"
    ]
}

私の理解では、これらは同じものに等しいはずです。ポリシーに何か不足がありますか? それとも、アップロード リクエストで別のパスを使用する必要がありますか?

**更新**

私はもともとiOSでこの問題を抱えていたので、今夜、node.jsで同じことを試してみましたが、結果は同じです。ノードで使用している簡単なコードは次のとおりです。

var s3 = new AWS.S3();

AWS.config.region = 'us-east-1';

AWS.config.credentials = new AWS.CognitoIdentityCredentials(AWSParams);

AWS.config.credentials.get(function (err) {

    if (!err) {

        console.log("Cognito Identity Id: " + AWS.config.credentials.identityId);

        var bucketName = 'ch123_test_bucket';

        var keyName = AWS.config.credentials.identityId + '.txt';

        var params = {Bucket: bucketName, Key: keyName, Body: 'Hello World!'};

        s3.putObject(params, function (err, data) {
            if (err)
                console.log(err)
            else
                console.log("Successfully uploaded data to " + bucketName + "/" + keyName);
        });
}

そして、iOS で得られるのと同じ結果が得られます。IAM ポリシーで明示的な cognito ID を提供しない限り、API は 403 で応答します。

IAM ポリシーを最小限に抑えました。これは機能しません:

{
  "Statement": [
   {
     "Effect": "Allow",
     "Action": ["s3:PutObject","s3:GetObject"],
     "Resource": [
         "arn:aws:s3:::ch123_test_bucket/${cognito-identity.amazonaws.com:sub}*"
      ]
  }
 ]
}

これは次のことを行います。

{
"Statement": [
  {
    "Effect": "Allow",
    "Action": ["s3:PutObject","s3:GetObject"],
    "Resource": [
        "arn:aws:s3:::ch123_test_bucket/us-east-1:68a5dc49-6cc7-4289-8257-d3d5636f7034*"
    ]
  }
 ]
}

ここに何が欠けているのかわかりません...私が見つけることができた唯一のドキュメントは、私が使用してきたのと同じリソース値の例を常に示しています。

4

2 に答える 2

10

残念ながら、現在、ポリシー変数と組み合わせて Cognito コンソールを介して生成されたロールに問題があります。ポリシー変数が正しく評価されるように、ロールのアクセス ポリシーを更新して以下を含めてください。

"Version": "2012-10-17"

2014 年 9 月 16 日更新: Amazon Cognito コンソールを更新して、ID プール作成ウィザードで作成された新しいロールに関するこの問題を修正しました。既存のロールは、上記の変更を行う必要があります。

于 2014-09-09T15:30:55.020 に答える
0

最後のスラッシュがありません。

{
    "Effect": "Allow",
    "Action": ["s3:PutObject","s3:GetObject"],
    "Resource": [
        "arn:aws:s3:::mybucket/cognito/myappfolder/${cognito-identity.amazonaws.com:sub}/*"
    ]
}

こちらの記事も参考にしてみてください。

于 2014-09-08T08:19:19.930 に答える