S3 访问被拒绝与策略不匹配

Question

我有以下策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "StmtXXX",
            "Effect": "Allow",
            "Action": [
                "s3:*"
            ],
            "Resource": [
                "arn:aws:s3:::MYBUCKET"
            ]
        }
    ]
}

（是的，我打算在工作时范围缩回s3:*）

以下列表的存储桶操作正常：

$ aws s3 ls s3://MYBUCKET/test --profile MYPROFILE --region eu-west-1
2016-11-30 15:21:13   16712119 test

但是一个阵容不起作用

$ aws s3 cp /tmp/test2 s3://MYBUCKET/test2 --profile MYPROFILE --region eu-west-1
upload failed: ../../../../tmp/test2 to s3://MYBUCKET/test2
A client error (AccessDenied) occurred when calling the CreateMultipartUpload operation: Access Denied

Parameter validation failed:
Invalid type for parameter UploadId, value: None, type: <type 'NoneType'>, valid types: <type 'basestring'>

我已经在IAM策略模拟器中尝试过此操作，似乎应该起作用。我已经验证了键是否与正确的用户相对应。

（我还尝试了自己的凭据，并且操作正常，所以我认为这不是语法错误）

这个工作应该工作吗？有什么想法为什么不是？

Answer 1

如果您在同一语句中指定存储桶和对象操作

中，则需要与存储桶本身分开输入存储桶内容

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "StmtXXX",
            "Effect": "Allow",
            "Action": [
                "s3:*"
            ],
            "Resource": [
                "arn:aws:s3:::MYBUCKET",
                "arn:aws:s3:::MYBUCKET/*"
            ]
        }
    ]
}

Answer 2

答案似乎是IAM策略可能需要一些时间来传播。这从不起作用到间歇性，再到工作。

因此，如果您面临莫名其妙的情况，请等待几分钟。