Политика S3 для разрешения по IP не может быть изменена

У нас есть корзина S3 с содержимым веб-сайта, которое доступно для публики через прокси-кеш. Доступ к корзине ограничен IP-адресами, используемыми прокси. Это все работает нормально.

Недавно к прокси были добавлены новые IP-адреса, но мы не можем добавить их в политику. Непосредственное редактирование политики дает «отказ в доступе» независимо от того, какие разрешения есть у пользователя. Мы обнаружили, что можем обойти это, временно разблокировав публичный доступ к корзине. Однако, если мы добавим новые IP-адреса, после повторной блокировки общего доступа мы обнаружим, что все запросы блокируются. Если мы вернем изменения в политику обратно к исходному списку IP-адресов, она снова заработает.

Политика довольно проста и выглядит так (отредактировано для конфиденциальности):

{
    «Версия»: «2012-10-17»,
    «Идентификатор»: «мое ведро»,
    "Заявление": [
        {
            "Сид": "IPAllow",
            «Эффект»: «Разрешить»,
            "Главный": "*",
            "Действие": "s3:*",
            "Ресурс": "arn:aws:s3:::my-bucket/*",
            "Условие": {
                "Айпи адрес": {
                    "aws: Исходный IP": [
                        "23.235.32.0/20",
                        "43.249.72.0/22",
                        "103.244.50.0/24",
                        "103.245.222.0/23",
                        "103.245.224.0/24",
                        "104.156.80.0/20",
                        "140.248.64.0/18",
                        "140.248.128.0/17",
                        "146.75.0.0/17",
                        "151.101.0.0/16",
                        "157.52.64.0/18",
                        "167.82.0.0/17",
                        "167.82.128.0/20",
                        "167.82.160.0/20",
                        "167.82.224.0/20",
                        "172.111.64.0/18",
                        "185.31.16.0/22",
                        "199.27.72.0/21",
                        "199.232.0.0/16",
                        "2a04:4e40::/32",
                        "2a04:4e42::/32"
                    ]
                }
            }
        }
    ]
}

Я думаю, вы можете столкнуться с это.

Я считаю, что если у вас есть большой список IP-адресов, и у тебя есть заблокировать публичный доступ включен на уровне учетной записи, то вы столкнетесь с этим пограничным случаем.

Когда BPA включен, S3 проверяет политики, чтобы люди не разрешали 0/0 или похожие.Для достаточно больших диапазонов IP-адресов или списков проверки, которые S3 использует за кулисами для определения «общедоступности», будут иметь слишком широкий диапазон для проверки, и время ожидания или ошибка.

Если вы можете сузить некоторые из своих диапазонов или найти другой способ защиты данных, все будет в порядке.