基于S3的私有文件托管：限制存储桶/文件夹可见性

一、S3原生IAM策略控制（最直接的低成本方案） #

别被误导了——AWS本身就能通过IAM策略实现用户级目录隔离，大概率是之前的策略没配到位。给每个项目参与者创建独立IAM用户（或者用IAM角色+身份提供商批量管理），绑定以下策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetBucketLocation"],
      "Resource": "arn:aws:s3:::你的存储桶名称",
      "Condition": {
        "StringLike": {
          "s3:prefix": ["user-${aws:username}/*", "user-${aws:username}"]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": "arn:aws:s3:::你的存储桶名称/user-${aws:username}/*"
    }
  ]
}

这个策略会限制用户只能查看和操作自己的user-<用户名>目录，完全看不到桶里的其他内容，配合Filestash使用，用户登录后只能接触到自己的文件，不会被无关内容困扰。

二、Filestash客户端配置初始路径（快速见效） #

Filestash本身支持给每个用户指定默认访问路径，不用改后端：

• 登录Filestash管理后台，给每个参与者单独配置S3连接；
• 在连接设置的Path字段里填用户专属目录的完整路径（比如/你的存储桶名称/user-张三）；
• 再配合上面的IAM策略做权限兜底，用户登录后直接进入自己的目录，连上层桶的入口都看不到。

三、API Gateway代理S3请求（进阶批量管理方案） #

如果用户量较大，不想维护一堆IAM用户，可以用API Gateway做中间层：

1. 用Cognito或者自定义身份认证识别用户身份，拿到用户ID；
2. 在API Gateway的集成请求里，把S3请求路径动态替换为/你的存储桶名称/user-<用户ID>/{proxy+}；
3. 给API Gateway的执行角色配置S3权限，只允许访问对应前缀的资源；
4. 让Filestash连接到API Gateway的端点，而非直接连S3。
   这个方案能实现完全隔离，但配置稍复杂，适合需要批量管理用户的场景。

四、轻量开源代理工具（低成本替代） #

觉得API Gateway麻烦的话，可以用开源轻量S3代理工具，比如s3-proxy或MinIO（作为S3代理模式运行）：

• 这些工具可以轻松实现用户和目录的绑定，配置简单；
• 可以部署在AWS Lambda或者EC2微型实例上，成本极低，完全符合预算要求。

内容的提问来源于stack exchange，提问作者rm.rf.etc