Odmowa dostępu S3 z spinaczem

Question

Poznaję używanie S3 z rubinem do przesyłania plików do usługi Amazon Web Service. Niedawno skonfrontowałem się z następującym błędem: AWS::S3::Errors::AccessDenied Access Denied. Podczas pisania w Google znalazłem this post z powodu błędu. Twierdzi, że zasady dotyczące zasobnika nie są wystarczające, aby umożliwić dostęp za pośrednictwem aplikacji internetowej, a także, że użytkownik musi mieć także dostęp administratora.

Podjęłam próbę i działa dobrze, ale mam wrażenie, że to jest wskazówka, że ​​nie robię tego dobrze, biorąc pod uwagę, że dostęp administratora nie jest wymieniony w żadnej innej dokumentacji, którą przeczytałem. Używam klejnotu aws-sdk. Czy ktokolwiek może rozważyć, czy dostęp administracyjny jest konieczny? Wielkie dzięki!

Answer 1

Nie powinieneś naprawdę potrzebować Admin Access, aby to osiągnąć. Upewnij się, że masz konfigurację AWS access_key_id i secret_access_key w swojej konfiguracji heroku. Należy również upewnić się, że konto użytkownika ma zestaw Access Policy w konsoli AWS IAM.

Aby uzyskać więcej informacji, zobacz numer this post.

Domyślnym uprawnieniem dla spinacza jest :public_read, chyba że podasz wiadro jako prywatne.

Zobacz to dla informacji o Module: Paperclip::Storage::S3

Answer 2

Jak wyjaśniono w przyjętym odpowiedź, nie ma potrzeby „Admin Access”. Jednak typowa polityka udostępniania dostępu do zasobnika, udokumentowana w przykładach podanych przez Amazon, nie mogła wystarczyć na spinacz.

Poniższa polityka pracował dla mnie:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:GetBucketLocation", 
       "s3:ListAllMyBuckets" 
      ], 
      "Resource": "arn:aws:s3:::*" 
     }, 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:ListBucket" 
      ], 
      "Resource": [ 
       "arn:aws:s3:::bucket-name-to-be-set-by-you" 
      ] 
     }, 
     { 
      "Effect": "Allow", 
      "Action": "s3:*", 
      "Resource": [ 
       "arn:aws:s3:::bucket-name-to-be-set-by-you/*" 
      ] 
     } 
    ] 
} 

Answer 3

Żadna z istniejących odpowiedzi rzeczywiście stwierdzić, które zasady trzeba przyznać, więc oto one: s3:PutObject, s3:DeleteObject i s3:PutObjectAcl.

Oto pełna polityka S3 wiadro Używam aby umożliwić spinacza umieścić obiekty z pozwoleniem :public_read:

{ 
    "Version": "2008-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Principal": { 
       "AWS": "arn:aws:iam::IAM_USER_ID:user/IAM_USER_NAME" 
      }, 
      "Action": [ 
       "s3:PutObject", 
       "s3:DeleteObject", 
       "s3:PutObjectAcl" 
      ], 
      "Resource": "arn:aws:s3:::S3_BUCKET_NAME/*" 
     } 
    ] 
}