如何配置S3 Bucket Policy允许Flash Briefing访问且不公开存储桶？

我之前帮朋友搞定过这个配置，确实不用把S3桶完全公开，就能让Alexa的Flash Briefing请求正常访问到你的JSON或RSS文件——核心就是用S3桶的IAM策略做精准的访问限制，通过Condition或者Principal来识别亚马逊转发的请求。

下面是我实际用过的有效配置，通过桶策略限制只有Alexa的Flash Briefing服务能访问指定路径的资源：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::你的桶名/flash-briefing/*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "你的AWS账户ID"
        },
        "ArnLike": {
          "aws:PrincipalArn": "arn:aws:iam::amazon.com:user/AlexaFlashBriefingService"
        }
      }
    }
  ]
}

配置说明： #

• Resource指定Flash Briefing资源所在的具体路径，避免开放整个桶
• Condition里的ArnLike用来匹配Alexa Flash Briefing服务的官方主体ARN，确保只有亚马逊的合法请求能通过
• aws:SourceAccount用来绑定你的AWS账户，进一步防止权限被滥用

如果你想拿到真实的请求详情来调整配置，可以这么操作：

• 临时给目标资源设置只读公开权限（仅限测试，测试完成后立刻撤销）
• 开启S3桶的访问日志，把日志存储到另一个独立的S3桶中
• 触发一次Flash Briefing技能的请求（比如用你的Alexa设备触发播报）
• 去日志桶里查看对应的访问记录，里面会包含请求头、来源IP、User-Agent、亚马逊签名等完整信息

日志里的User-Agent通常会是类似AlexaFlashBriefing/1.0的格式，这些信息也可以作为Condition的判断依据，进一步细化你的权限规则。

内容的提问来源于stack exchange，提问作者Lou Bagel