Définir les droits d’accès à S3 pour donner un accès public en lecture

S3 est assez mer­veilleux, mais aus­si assez com­pli­qué pour gérer les droits d’ad­mi­nis­tra­tion. Jus­qu’à pré­sent, sur mon S3, je m’embêtais à gérer les droits fichier par fichier pour lui don­ner un accès en lec­ture public.

Je me suis pen­ché sur la ques­tion, et en fait ce n’est pas si com­pli­qué à com­prendre, encore faut-il avoir la bonne syn­taxe. Voi­là la poli­tique que j’ai mise en place :

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Principal": {
         "AWS": "*" },
       "Action": "s3:GetObject",
       "Resource": "arn:aws:s3:::examplebucket/*"
     }
   ] }

• Ver­sion : c’est le numé­ro de ver­sion de la poli­cy. Ne met­tez pas la date du jour, copiez la même date que moi (ça revient en gros à dire “j’u­ti­lise la ver­sion 3 du sys­tème de poli­cy”).
• Sta­te­ment : ce sont les règles de la poli­cy. Ici, il y en a une seule. Voyons ce que ça dit à l’in­té­rieur :
  • Effect : Allow (auto­ri­ser) ou Deny (refu­ser). Par défaut, tout est refu­sé par sécu­ri­té. Il faut donc expli­ci­te­ment auto­ri­ser des choses.
  • Prin­ci­pal : le nom de l’u­ti­li­sa­teur à qui on donne le droit. Ici, l’é­toile * signi­fie “tout le monde, y com­pris le grand public sur inter­net sans compte AWS”.
  • Action : c’est l’ac­tion qu’on veut auto­ri­ser (il peut y en avoir plu­sieurs). Ici,  s3:GetObject  per­met de télé­char­ger un objet (un fichier). La liste des actions peut être retrou­vée dans la doc. Oui, il y en a beau­coup ! Par­mi les plus impor­tantes, citons :
    • s3:DeleteObject : auto­rise la sup­pres­sion des fichiers
    • s3:GetObject  : auto­rise la lec­ture des fichiers et leur télé­char­ge­ment
    • s3:PutObject   : auto­rise l’a­jout de fichiers
    • s3:ListBucket  : auto­rise la récu­pé­ra­tion du nom de tous les fichiers dans le bucket
    • s3:ListAllMyBuckets  : auto­rise l’af­fi­chage de la liste de tous les buckets.
  • Resource : le nom de la res­source qui est auto­ri­sée. Il y a un for­mat un peu spé­cial. Ici,  arn:aws:s3:::examplebucket/*  indique qu’on effec­tue l’au­to­ri­sa­tion sur tous les fichiers (  *  ) du bucket nom­mé  examplebucket  .

Ain­si, tout fichier sera acces­sible en lec­ture, mais pas en écri­ture.

Source