Chính sách bảo mật S3 cho Bộ chứa trong khi cho phép các url đã ký

ugh, chính sách xô.

Tôi đang cố gắng viết chính sách bảo mật bộ chứa để ngăn người ngoài liệt kê cấu trúc và dữ liệu trong bộ chứa nhưng tại thời điểm đó, người dùng AWS của tôi cần có khả năng kéo/đặt đối tượng và tạo URL đã ký cho các tệp phương tiện (một số trong số này là các tệp âm thanh cần được phát trực tuyến).

Tôi đã tắt quyền truy cập công khai vào nhóm và tạo chính sách nhóm giống như sau:

{
        "Sid": "Stmt1625604135648",
        "Hiệu ứng": "Cho phép",
        "Hiệu trưởng": "*",
        "Hoạt động": [
            "s3:GetObject",
            "s3:PutObject",
            "s3:GetObjectAcl",
            "s3:PutObjectAcl"
        ],
        "Tài nguyên": "arn:aws:s3:::mediaBucket/*"
    }

nhưng mỗi khi tôi cố gắng sử dụng thư viện AWS PHP để đẩy một đối tượng vào một bộ chứa hoặc tạo một URL đã ký cho một tài nguyên cụ thể, tôi lại nhận được lỗi từ chối truy cập.

Tôi làm gì sai ở đây?