AWS IAM GroupPolicy - s3：PutObject権限が機能しないのはなぜですか？

Question

私はグループを持っており、以下のポリシーをグループに適用しました。グループにユーザーを追加し、そのユーザーのアクセスキーを作成しました。私は "mybucket"から出ることができますが、私は "mybucket"に入れられません。私がプットしようとすると、私は「アクセスが拒否されました」。誰でも私が間違っていることを教えてもらえますか？私にお知らせください。

{ 
     "Statement":[{ 
      "Effect":"Allow", 
      "Action":["s3:PutObject","s3:GetObject"], 
      "Resource":["arn:aws:s3:::mybucket","arn:aws:s3:::mybucket/*"] 
      }, 
      { 
      "Effect":"Deny", 
      "Action":["*"], 
      "NotResource":["arn:aws:s3:::mybucket","arn:aws:s3:::mybucket/*"] 
      } 
     ] 
    } 

編集：誰かが私にポリシーの目標を述べるように頼んだ。私は、指定されたバケットのグループに対してPUTとGETパーミッションだけを "許可"します。私は明示的にすべてのリソースNOT（NotResource）が指定されている場合、そのグループに対する他のすべての権限を明示的に「拒否」します。 AWSが投稿した記事に基づいて明示的な「拒否」を追加しました。この記事は、そうすることをお勧めしています。

Answer 1

拒否ステートメントは常にAllowステートメントよりも優先されます。これは、上記のポリシーがユーザーによるすべてのアクセスをブロックする必要があることを意味します。 GetとPutのリクエストはどうやっていますか？ Getが匿名で（認証なしで）実行された可能性はありますか？

あなたの目標が上記のポリシーの目的であることを理解することは役に立ちますか？拒否声明の目的は何ですか？

Answer 2

から：IAM Language Info

各ポリシーは、そのバケット内でのみシングルバケットとリソースをカバーしなければならない

（ポリシーを書くときに、他のバケットまたは他のバケット内のリソースを参照するステートメントが含まれていません）