基于Cognito用户属性实现S3的ABAC多用户组权限配置问询

单个标签能否存储多值？ #

AWS标签本身是键值对结构，单个标签值只能是字符串，无法直接存储数组。但可以通过自定义分隔符（比如|、,）把多个组名拼接成单个字符串值，这是AWS官方认可的多值标签替代方案。

多组用户的完整实现方案 #

1. 把Cognito用户组映射到IAM主体标签 #

在Cognito的IAM身份提供商配置中，将用户的cognito:groups属性（返回数组）映射到IAM主体标签（比如aws:PrincipalTag/AccessGroups），同时用分隔符拼接多组为字符串。例如用规则${join('|', ${cognito:groups})}，把用户所属的qas、eng组拼成qas|eng存入主体标签。若用户无任何组，可将标签值设为none或空字符串。

2. 编写匹配多组的IAM策略 #

使用StringLike条件运算符，结合分隔符实现“用户组与对象标签的包含匹配”。示例策略如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:ListBucket"],
      "Resource": [
        "arn:aws:s3:::your-target-bucket",
        "arn:aws:s3:::your-target-bucket/*"
      ],
      "Condition": {
        "StringLike": {
          "s3:ExistingObjectTag/Group": "*${aws:PrincipalTag/AccessGroups}*"
        }
      }
    }
  ]
}

逻辑说明：只要S3对象的Group标签值（比如qas）出现在用户主体标签AccessGroups的拼接字符串（比如qas|eng）中，就允许访问。

3. 处理无组用户的权限 #

如果需要限制无组用户的访问范围，可在策略中添加分支条件，比如只允许他们访问无Group标签的对象：

"Condition": {
  "Or": [
    {
      "StringLike": {
        "s3:ExistingObjectTag/Group": "*${aws:PrincipalTag/AccessGroups}*"
      }
    },
    {
      "Null": {
        "s3:ExistingObjectTag/Group": true
      },
      "StringEquals": {
        "aws:PrincipalTag/AccessGroups": "none"
      }
    }
  ]
}

多组用户场景示例（如qas+eng） #

假设用户同时属于qas和eng组，主体标签AccessGroups值为qas|eng：

• 标签为qas的S3对象：qas包含在qas|eng中，匹配成功，允许访问；
• 标签为eng的S3对象：同理匹配成功，允许访问；
• 标签为marketing的S3对象：不在拼接字符串中，拒绝访问。

注意事项 #

• 分隔符要选用不会出现在组名中的字符，避免匹配逻辑出错；
• IAM主体标签值最大长度为256字符，若用户组过多导致拼接后超长，需考虑拆分多个标签或优化组结构；
• 用IAM Access Analyzer验证策略逻辑，避免权限泄漏或缺失。

内容的提问来源于stack exchange，提问作者dm98