Como permitir que o usuário faça upload de arquivos no bucket do S3, mas não substitua ou exclua?

Eu tenho a seguinte política do IAM para um usuário

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1395161912000",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:PutObject",
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Sid": "list",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

O objetivo é permitir que o usuário faça upload de arquivos para o bucket, mas não substitua ou exclua. É para backup. Comecei com ListBuckete PutObject, mas acrescentei *, pois não funcionava. Nem *permite que o usuário faça upload de arquivos, apenas obtendo Access Denied.

Quando tento o Simulator, ele retorna Denied - Implicitly denied (no matching statements found).para ListBucket, o que parece estranho, porque eu permiti isso implicitamente.

Eu tentei o Cyberduck e o 3Hub como clientes S3.

Alguma idéia do que está errado?

Ao elaborar políticas do Amazon IAM para o Amazon S3 , você precisa estar ciente da diferença entre Operações no Serviço (por exemplo, ListAllMyBuckets ), Operações em Buckets (por exemplo, ListBucket ) e Operações em Objetos (por exemplo, GetObject ).

Em particular, a Resourceespecificação de sua política precisa abordar as entidades de destino apropriadas de acordo com os seguintes padrões (consulte, por exemplo, as várias Políticas de Exemplo para o Amazon S3 ):

• Operações em Serviço - arn:aws:s3:::*
• Operações em caçambas - arn:aws:s3:::<bucket>
• Operações em objetos - arn:aws:s3:::<bucket>/<object>

Solução

Você está encontrando Access Denied, porque especificou um recurso no nível do bucket PutObject, o que requer uma especificação de recurso no nível do objeto, como arn:aws:s3:::<bucket>/*- portanto, a política a seguir deve cobrir seu caso de uso de amostra:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname/*"
      ]
    }
  ]
}