¿Por qué mi política AWS S3 Bucket no reemplaza mi política de IAM?

Question

Tengo un usuario en mi cuenta IAM llamado "testuser" que tiene privilegios de administrador, así:

{ 
    "Statement": [ 
    { 
     "Effect": "Allow", 
     "Action": "*", 
     "Resource": "*" 
    } 
    ] 
} 

Y luego tengo una política en mi depósito de S3 que niega acceso a este usuario, así:

{ 
    "Statement": [ 
    { 
    "Effect": "Deny", 
    "Principal": { 
    "AWS": "my-account-id:user/testuser" 
    }, 
    "Action": "s3:*", 
    "Resource": "arn:aws:s3:::my-bucket-name/*" 
    } 
    ] 
} 

Por lo tanto, la denegación explícita en la política de segmento S3 debe anular la autorización de la política de IAM ¿no? Pero cuando inicio sesión como usuario de prueba, sigo teniendo acceso a todo lo que contiene, incluso tengo acceso para cambiar o eliminar la política de depósito para ese depósito (y también para todos los demás). ¿Por qué mi negación explícita no está haciendo nada?

Answer 1

intente utilizar el formulario de ARN total para el ID de usuario en la directiva de cubo:

"Principal": { 
    "AWS":["arn:aws:iam::accountid:user/testuser"] 
}