送信元IPアドレスがブロックされないAWS S3バケットポリシー

Question

私はこの質問が何度か尋ねられていることを知っており、これに関するいくつかの文書と例を見てきました。しかし、私はまだそれを働かせることができません。

特定の1つのIPアドレスからS3バケットへのアクセスをブロックし、他のすべてのアクセスを許可します。 I IAMロールに属するインスタンスをブロックしたいので、このためにNotIpAddress Conditionを使用しています。以下はバケットに適用したポリシーです：

{ 
    "Version": "2012-10-17", 
    "Id": "Policy1486984747194", 
    "Statement": [ 
     { 
      "Sid": "AllowAllExceptOneIP", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:*", 
      "Resource": "arn:aws:s3:::my-test-bucket", 
      "Condition": { 
       "NotIpAddress": { 
        "aws:SourceIp": "52.38.90.46" 
       } 
      } 
     } 
    ] 
} 

しかし、このポリシーは機能していません。このマシンからバケットにファイルをアップロードすることができます。私はs3-curl.plを使ってファイルを一時的にアップロードしています。

ここで間違っている箇所を見つけてもらえますか？ありがとう。特定のIPからのS3バケットにすべてのアクションをブロックするように

Answer 1

、ポリシーはそのIPのための個別の拒否効果ステートメントを持っている必要があり、サンプル：

{ 
    "Version": "2012-10-17", 
    "Id": "Policy1487062767078", 
    "Statement": [ 
     { 
      "Sid": "AllowAll", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:*", 
      "Resource": [ 
       "arn:aws:s3:::my-test-bucket", 
       "arn:aws:s3:::my-test-bucket/*" 
      ] 
     }, 
     { 
      "Sid": "DenyIP", 
      "Effect": "Deny", 
      "Principal": "*", 
      "Action": "s3:*", 
      "Resource": [ 
       "arn:aws:s3:::my-test-bucket", 
       "arn:aws:s3:::my-test-bucket/*" 
      ], 
      "Condition": { 
       "IpAddress": { 
        "aws:SourceIp": "52.38.90.46" 
       } 
      } 
     } 
    ] 
} 

アクションとリソースは、1つのに必要なものに基づいて変更することができますブロック。

このソリューションを手伝ってくれてありがとう@SergeyKovalevありがとうございます。