Acesso variável à política do AWS S3 Transfer Manager $ {cognito-identity.amazonaws.com:sub} negado
Estou tentando baixar um arquivo do AWS S3 para meu aplicativo móvel iOS a partir de uma pasta específica para o usuário, usando o Transfer Manager, da seguinte maneira:
@IBAction func download() {
let transferManager = AWSS3TransferManager.default()!
let downloadingFileURL = URL(fileURLWithPath: NSTemporaryDirectory()).appendingPathComponent("disney1.jpg")
let downloadRequest = AWSS3TransferManagerDownloadRequest()!
downloadRequest.bucket = "sidestreamx"
// user's UUID/disney1
downloadRequest.key = "631d121f-b294-4318-b3cd-36b3b74ebdff/disney1"
downloadRequest.downloadingFileURL = downloadingFileURL
transferManager.download(downloadRequest).continue(with: AWSExecutor.mainThread(), with: {
(task: AWSTask<AnyObject>) -> Any? in
if let error = task.error as? NSError {
// handle error
return nil
}
self.imageView.image = UIImage(contentsOfFile: downloadingFileURL.path)
return nil
})
}
Minha política de permissão de função do IAM é a seguinte, obtida deeste documento da AWS:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "GetBucketListIfRequestIsForUser",
"Action": [
"s3:ListBucket"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::sidestreamx"
],
"Condition": {
"StringLike": {
"s3:prefix": [
"${cognito-identity.amazonaws.com:sub}/*"
]
}
}
},
{
"Sid": "S3GetObjects",
"Action": [
"s3:GetObject",
"s3:PutObject"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::sidestreamx/${cognito-identity.amazonaws.com:sub}/*"
]
}
]
}
A resposta que recebo é
<?xml version="1.0" encoding="UTF-8"?>
<Error><Code>AccessDenied</Code>
<Message>Access Denied</Message>
<RequestId>E1F205B58EF4A670</RequestId>
<HostId>dUWI8PfVZL3mJmykjhXRqvFd1yt/CqDFNlwgwD3kmLk2vrMBP6JvVgezMYSROt3KyE3dx0+3eDE=</HostId>
</Error>
O usuário é autenticado pelo AWS Cognito User Pool e Cognito Federated Identities. Eu depurei e extraí o token JWT e vi que osub = "631d121f-b294-4318-b3cd-36b3b74ebdff"
. Eu até useiCharles para ver a solicitação / resposta.
istofunciona se Eu substituo${cognito-identity.amazonaws.com:sub}
na última declaraçãoS3GetObjects
com631d121f-b294-4318-b3cd-36b3b74ebdff
para obterarn:aws:s3:::sidestreamx/631d121f-b294-4318-b3cd-36b3b74ebdff/*
. A primeira declaração pode continuar com a variável policy e ainda funcionará. Funcionará se eu remover a primeira declaração completamente! É quando eu adiciono a variável policy à última instrução, onde ela começa a quebrar.
Eu verifiquei issoEstouro de pilha pergunta eeste, para nenhum proveito. Então sim, eu não sei. Eu estive nisso por quase mais de 9 horas-homem, então qualquer ajuda seria sinceramente apreciada.