⁠Доступ до S3 бакета для всіх акаунтів організації

Буває потрібно швидко і просто розшарити якийсь бакет або його частину для всіх, але не "для всіх взагалі" (в інтернеті), а тільки "для своїх всіх".

У разі мульти-аккаунт стратегії дана задача перетворюється в "розшарити для всіх акаунтів організації". Для цього існує спеціальна опція PrincipalOrgID, яку і можна використовувати:

{
 "Version": "2008-10-17",
 "Statement": [
  {
   "Sid": "Full access to path /some-path for all of organization accounts",
   "Effect": "Allow",
   "Principal": {
    "AWS": "*"
   },
   "Action": "s3:*",
   "Resource": [
    "arn:aws:s3:::my-shared-bucket",
    "arn:aws:s3:::my-shared-bucket/some-path/*"
   ],
   "Condition": {
    "StringEquals": {
     "aws:PrincipalOrgID": "o-dtj1bor777"
    }
   }
  }
 ]
}

Це недосконале рішення з точки зору безпеки, але точно краще варіанту зробити S3 бакет публічним.
#S3