Warum überschreibt meine AWS S3-Bucket-Richtlinie nicht meine IAM-Richtlinie?

Question

Ich habe einen Benutzer in meinem IAM Konto namens „Testuser“, der über Administratorrechte verfügt, etwa so:

{ 
    "Statement": [ 
    { 
     "Effect": "Allow", 
     "Action": "*", 
     "Resource": "*" 
    } 
    ] 
} 

Und ich habe dann eine Politik auf meinem S3 Eimer, die diesem Benutzer den Zugriff verweigert, etwa so:

Also, die explizite Ablehnung in der S3-Bucket-Richtlinie sollte die Erlaubnis von der IAM-Richtlinie richtig überschreiben? Aber wenn ich mich als Testbenutzer anmelde, habe ich immer noch Zugriff auf alles in diesem Bucket - ich kann sogar die Bucket-Policy für diesen Bucket (und auch für jeden anderen Bucket) ändern oder entfernen. Warum ist meine ausdrückliche Ablehnung etwas zu tun?

Answer 1

Versuchen Sie, das volle ARN Formular für den Benutzer-ID in der Eimer Politik mit:

"Principal": { 
    "AWS":["arn:aws:iam::accountid:user/testuser"] 
}