¿Cómo permitir que el usuario cargue archivos en el depósito S3, pero no sobrescribir ni eliminar?

Tengo la siguiente política de IAM para un usuario

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1395161912000",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:PutObject",
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Sid": "list",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

El objetivo es permitir que el usuario cargue archivos en el depósito, pero no sobrescribir ni eliminar. Es para respaldo. Comencé con ListBuckety PutObject, pero agregué *ya que no funcionó. Ni siquiera *permite al usuario cargar archivos, solo obtenerlos Access Denied.

Cuando intento el simulador, devuelve Denied - Implicitly denied (no matching statements found).a ListBucket, que parece extraño ya que he permitido que implícitamente.

He probado tanto Cyberduck como 3Hub como clientes S3.

¿Alguna idea de lo que está mal?

Al elaborar políticas de Amazon IAM para Amazon S3 , debe tener en cuenta la diferencia entre Operaciones en el Servicio (por ejemplo, ListAllMyBuckets ), Operaciones en Buckets (por ejemplo, ListBucket ) y Operaciones en Objetos (por ejemplo, GetObject ).

En particular, la Resourceespecificación de su política debe abordar las entidades objetivo apropiadas de acuerdo con los siguientes patrones (consulte, por ejemplo, las distintas Políticas de ejemplo para Amazon S3 ):

• Operaciones en servicio - arn:aws:s3:::*
• Operaciones en cubos - arn:aws:s3:::<bucket>
• Operaciones en objetos - arn:aws:s3:::<bucket>/<object>

Solución

Se está encontrando Access Denied, porque ha especificado un recurso de nivel de depósito para PutObject, que requiere una especificación de recurso de nivel de objeto como arn:aws:s3:::<bucket>/*, en consecuencia, la siguiente política debería cubrir su caso de uso de muestra:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname/*"
      ]
    }
  ]
}