Политика безопасности S3 для Bucket при разрешении подписанных URL-адресов

тьфу, политика ведра.

Я пытаюсь написать политику безопасности корзины, которая не позволяла бы посторонним перечислять структуру и данные в корзине, но в то время, когда мои пользователи AWS должны иметь возможность извлекать/помещать объекты и создавать подписанные URL-адреса для медиафайлов (некоторые из этих аудиофайлы, которые необходимо транслировать).

Я отключил публичный доступ к корзине и создал политику корзины, которая выглядит так:

{
        "Сид": "Stmt1625604135648",
        «Эффект»: «Разрешить»,
        "Главный": "*",
        "Действие": [
            "s3:ПолучитьОбъект",
            "s3:ПоместитьОбъект",
            "s3: ЖетОбжектАкл",
            "s3:путобжектакл"
        ],
        "Ресурс": "arn:aws:s3:::mediaBucket/*"
    }

но каждый раз, когда я пытаюсь использовать библиотеку AWS PHP, чтобы поместить объект в корзину или создать подписанный URL-адрес для определенного ресурса, я получаю отказ в доступе.

Что я здесь делаю неправильно?