S3 策略允许写入存储桶但不允许从中读取，这可能吗？

Question

是否可以只允许用户对存储桶进行写入操作而没有读取权限？目标是让我的所有 EC2 实例将每个实例写入不同的存储桶，而不让它们读取任何其他存储桶。我的所有实例都使用相同的 IAM 角色运行。

Answer 1

这当然是可能的。例如，当使用带有交换机的sync命令时，我通常使用此只写策略将EC2实例备份到S3 ：--delete

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::bucket-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:ListBucketMultipartUploads"
            ],
            "Resource": [
                "arn:aws:s3:::bucket-name/*"
            ]
        }
    ]
}