0

Estoy desarrollando una app serverless sobre AWS con la api de javascript en angular 4, tengo un bucket mi-bucket en S3 con una carpeta por cliente(mi-bucket/cliente1 , mi-bucket/cliente2).

He creado un userPool cargaArchivosPool en amazon Cognito con email y password como atributos necesarios y un custom attribute nombre_carpeta. Los usuarios los creo a través de la consola de Cognito en AWS y el atributo nombre_carpeta lo adiciono por la AWS-cli.

Además creé un IdentityPool con los roles AuthRole y NoAuthRole .Al rol AuthRole le asigné una política de la siguiente forma:

{
"Version": "2012-10-17",
"Statement": [
    {
        "Action": [
            "s3:ListBucket"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::mi-bucket"
        ]
    },
    {
        "Action": [
            "s3:*"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::mi-bucket/*"
        ]
    }
    ]
}

y allí a cada usuario le asocio un grupo con una política con permiso de lectura y edición sobre una única carpeta dentro del bucket de la siguiente forma:

{
"Version": "2012-10-17",
"Statement": [
    {
        "Action": [
            "s3:ListBucket"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::mi-bucket"
        ],
        "Condition": {
            "StringEquals": {
                "s3:prefix": [
                    "",
                    "cliente1/"
                ],
                "s3:delimiter": [
                    "/"
                ]
            }
        }
    },
    {
        "Effect": "Allow",
        "Action": [
            "s3:*"
        ],
        "Resource": [
            "arn:aws:s3:::mi-bucket/cliente1/*"
        ]
    }
]
}

Y así también para cada cliente. Cuando me conecto con un cliente puedo hacer operaciones de lectura y escritura sobre todo el bucket, pero los permisos específicos a cada cliente no se aplican, es decir si desde el navegador cambio el nombre del custom attribute nombre_carpeta para el cliente1 puede escribir en carpetas a las que no tiene permisos según la política del grupo en el userPool. ¿Cómo puedo controlar que cada usuario sólo tenga permisos sobre una carpeta en particular?

Agradezco su ayuda

1 respuesta 1

0

En mi opinión no hay problemas con lo que has descrito. ¿Seguro que los usuarios no tienen asociados también la misma política que AutRole?

Podrías completar la política de acceso de cada usuario con una negación del estilo:

{
     "Sid": "SinAccesoParaCarpetasAjenas",
     "Effect": "Deny",
     "Action": ["s3:*"],
     "Resource": ["arn:aws:s3:::mi-bucket/*"],
     "Condition": {
         "StringNotLike": {
             "s3:prefix": "mi-bucket/cliente1/*"
         }
      }
}

Ojo, no lo he probado en tu contexto concreto pero en mi experiencia la política de acceso quedará más segura con una cláusula similar a esta.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.