Min.io桶子路径动态访问策略配置求助（适配Keycloak SSO）

原策略里bucket1读不了的核心问题是变量用错了：因为是通过Keycloak OIDC登录，MinIO不会用${aws:username}这个AWS风格的变量，得换成OIDC对应的身份变量，比如${oidc:preferred_username}（如果Keycloak里配置了自定义的用户名Claims，比如username，就换成${oidc:username}，根据实际情况调整）。另外原策略的bucket1列表权限没做前缀过滤，也可能导致目录浏览失败。

下面是修正后的单一动态策略，直接就能满足你的需求：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListAllMyBuckets"],
      "Resource": "arn:aws:s3:::*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::bucket1",
      "Condition": {
        "StringLike": {
          "s3:prefix": ["", "function3/*", "users/*", "function3/users/${oidc:preferred_username}/*"]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::bucket1/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:PutObject", "s3:DeleteObject"],
      "Resource": "arn:aws:s3:::bucket1/function3/users/${oidc:preferred_username}/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::bucket2"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::bucket2/*"
    }
  ]
}

关键调整说明 #

1. 变量替换：把${aws:username}换成${oidc:preferred_username}，让MinIO能正确匹配当前登录的Keycloak用户，动态生成专属路径的读写权限。
2. 列表权限补全：给bucket1的ListBucket加了Condition，允许用户浏览根目录、function3、users以及自己的子路径，确保能正常看到bucket1的结构，不会因为列表权限不足导致读不了对象。
3. 权限逻辑完全符合需求：
   • 所有用户对bucket2只有列表和读权限，满足只读要求；
   • 所有用户能读bucket1下的所有内容；
   • 每个用户只能在自己的bucket1/function3/users/{用户名}路径下写、删文件。

应用方式 #

把这个策略设为用户组策略（推荐），然后把所有通过Keycloak登录的用户加到这个组里，或者直接设为全局桶策略，不用再给每个用户单独配静态策略。

内容的提问来源于stack exchange，提问作者pheeleeppoo