Controlul accesului S3 bazat pe etichete bucket

sper ca ma puteti ajuta. Am citit o cuplu de docs acum și încă nu sunt sigur dacă acest lucru funcționează cu adevărat.

Vreau să ofer acces la diferite niveluri utilizatorilor AWS pe baza etichetelor S3.

Exemplu:

• Găleată S3 găleata mea are etichete {"access-team-dev": "rwd"}, ceea ce ar trebui să conducă la echipa „dev” să aibă acces „citire, scriere, ștergere”.
• o etichetă pentru fiecare echipă, valoarea este nivelul de acces.

Am încercat cel puțin 10 combinații diferite ale acestei politici IAM:

[
    {
        „Acțiune”: [ „multe acțiuni eliminate din motive de concizie” ],
        "Condiție": {
            „StringEquals”: ​​{"aws:ResourceTag/access-team-dev": ["list","ro","rw","rwd"]}
        },
        „Efect”: „Permite”,
        „Resurse”: „*”
    },
    {
        „Acțiune”: [ „multe acțiuni eliminate din motive de concizie” ],
        "Condiție": {
            „StringEquals”: ​​{"aws:ResourceTag/access-team-dev": ["ro","rw","rwd"]}
        },
        „Efect”: „Permite”,
        „Resurse”: „*”
    },
    {
        „Acțiune”: [ „multe acțiuni eliminate din motive de concizie” ],
        "Condiție": {
            „StringEquals”: ​​{"aws:ResourceTag/access-team-dev": ["rw","rwd"]}
        },
        „Efect”: „Permite”,
        „Resurse”: „*”
    },
    {
        „Acțiune”: [ „multe acțiuni eliminate din motive de concizie” ],
        "Condiție": {
            „StringEquals”: ​​{"aws:ResourceTag/access-team-dev": ["rwd"]}
        },
        „Efect”: „Permite”,
        „Resurse”: „*”
    }
]

... dar nimic nu merge.

Politica respectivă este atribuită utilizatorului printr-un grup IAM, grupul de testare este etichetat cu „access-team-dev”: „rwd”.

Două întrebări:

• functioneaza deloc??
• daca da, cu ce gresesc???

Foarte frustrant, deoarece conform documentelor - dacă le-am citit corect - asta ar trebui să munca, nu?

Multumesc anticipat pentru toate raspunsurile!