Amplify中如何按环境配置user-pool-group-precedence.json的S3资源权限？

实现思路 #

直接利用Amplify的环境变量替换机制，在策略配置中引入环境名称占位符，部署时Amplify会自动替换为当前环境的实际名称，实现每个环境仅访问对应S3桶。

具体步骤 #

1. 确认Amplify环境与对应S3桶
   确保已创建目标环境（如dev、qa），且每个环境对应独立的S3桶（如s3bucket-dev、s3bucket-qa）。

2. 修改用户池组策略配置
   打开user-pool-group-precedence.json，将原策略中的资源通配符替换为含环境占位符的格式：

   [{
       "groupName": "example",
       "precedence": 1,
       "customPolicies": [
         {
           "PolicyName": "example-policy",
           "PolicyDocument": {
             "Version": "2012-10-17",
             "Statement": [
               {
                 "Sid": "Policy01",
                 "Action": ["s3:GetObject"],
                 "Resource": ["arn:aws:s3:::s3bucket-${env}/"],
                 "Effect": "Allow"
               }
            ]
         }
       }
   }]
   

   这里的${env}是Amplify内置的环境变量，部署时会自动替换为当前环境的名称（如dev、qa）。

3. 部署对应环境
   运行Amplify部署命令，指定目标环境：

   # 部署dev环境
   amplify push -e dev
   # 部署qa环境
   amplify push -e qa
   

   部署完成后，每个环境的用户池组策略会自动生成对应S3桶的权限，实现环境间的权限隔离。

备选方案（参数化配置） #

如果需要更灵活的配置，可以通过Amplify的环境参数实现：

• 在amplify/backend/auth/<你的认证资源名>/parameters.json中，为每个环境定义S3桶名称参数：
  • dev环境参数：

    {
      "s3BucketName": "s3bucket-dev"
    }
    

  • qa环境参数：

    {
      "s3BucketName": "s3bucket-qa"
    }
    

• 然后在user-pool-group-precedence.json中引用该参数：

  "Resource": ["arn:aws:s3:::${s3BucketName}/"]
  

  部署时Amplify会根据当前环境的参数值替换生成对应策略。

内容的提问来源于stack exchange，提问作者Devin Norman