如何通过EC2实例实现S3存储桶对象的用户级细粒度访问控制？

1. 问题根源分析 #

你之前的桶策略存在两个核心问题：

• Principal: "*"意味着允许所有能从EC2实例IP发起请求的身份访问OB1，完全没区分实例内的USER1和USER2
• 仅限制了对象级的访问权限，但未控制桶级的列表权限，所以调用s3:ListBucket时会返回桶内所有对象名称

2. 正确实现方案 #

要实现实例内不同用户仅能访问指定S3对象，需要结合IAM用户权限+IP访问限制，同时精准控制列表权限只返回对应对象：

步骤1：创建对应IAM用户 #

给USER1和USER2分别创建独立的IAM用户，为每个用户分配仅能访问对应对象的权限，同时限制请求必须来自EC2实例的IP。

USER1的IAM策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject" // 若不需要上传权限可删除此项
            ],
            "Resource": "arn:aws:s3:::bucketname/OB1",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "EC2实例的公网/私网IP"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucketname",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "EC2实例的公网/私网IP"
                },
                "StringEquals": {
                    "s3:prefix": "OB1" // 仅允许列出以OB1为前缀的对象（单个对象直接填对象名即可）
                }
            }
        }
    ]
}

USER2的IAM策略：

将上述策略中的OB1替换为OB2即可。

步骤2：在EC2实例内配置用户凭证 #

在EC2实例中，给操作系统的USER1和USER2分别配置对应IAM用户的访问密钥：

• 切换到USER1，执行aws configure，输入该IAM用户的Access Key ID和Secret Access Key
• 切换到USER2，重复上述操作，输入自身对应的IAM用户凭证

这样每个操作系统用户发起的S3请求会使用独立的IAM身份，触发对应的权限策略。

步骤3：移除无效的桶策略 #

你之前的桶策略因Principal: "*"权限过宽，且无法区分实例内的用户，建议直接删除，改用IAM用户策略实现精准控制。

3. 关键注意事项 #

• 若EC2实例在VPC内访问S3，策略中的aws:SourceIp建议填写实例的私网IP，更安全且避免公网IP变动影响权限
• 若不需要查看对象列表，可直接删除s3:ListBucket相关语句，用户仅能通过已知路径访问指定对象，完全看不到其他对象
• 严格遵循最小权限原则，不给IAM用户分配超出需求的权限

内容的提问来源于stack exchange，提问作者Abhi