Estoy desarrollando una app serverless sobre AWS con la api de javascript en angular 4, tengo un bucket mi-bucket
en S3 con una carpeta por cliente(mi-bucket/cliente1
, mi-bucket/cliente2
).
He creado un userPool cargaArchivosPool
en amazon Cognito con email y password como atributos necesarios y un custom attribute nombre_carpeta
. Los usuarios los creo a través de la consola de Cognito en AWS y el atributo nombre_carpeta
lo adiciono por la AWS-cli.
Además creé un IdentityPool con los roles AuthRole
y NoAuthRole
.Al rol AuthRole
le asigné una política de la siguiente forma:
{
"Version": "2012-10-17",
"Statement": [
{
"Action": [
"s3:ListBucket"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::mi-bucket"
]
},
{
"Action": [
"s3:*"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::mi-bucket/*"
]
}
]
}
y allí a cada usuario le asocio un grupo con una política con permiso de lectura y edición sobre una única carpeta dentro del bucket de la siguiente forma:
{
"Version": "2012-10-17",
"Statement": [
{
"Action": [
"s3:ListBucket"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::mi-bucket"
],
"Condition": {
"StringEquals": {
"s3:prefix": [
"",
"cliente1/"
],
"s3:delimiter": [
"/"
]
}
}
},
{
"Effect": "Allow",
"Action": [
"s3:*"
],
"Resource": [
"arn:aws:s3:::mi-bucket/cliente1/*"
]
}
]
}
Y así también para cada cliente. Cuando me conecto con un cliente puedo hacer operaciones de lectura y escritura sobre todo el bucket, pero los permisos específicos a cada cliente no se aplican, es decir si desde el navegador cambio el nombre del custom attribute nombre_carpeta
para el cliente1
puede escribir en carpetas a las que no tiene permisos según la política del grupo en el userPool. ¿Cómo puedo controlar que cada usuario sólo tenga permisos sobre una carpeta en particular?
Agradezco su ayuda