让Cognito用户管理对“自己的”S3文件夹的访问

实际上,我要在这里提出两个问题:

我试图找出是否有一种方法可以让Cognito用户管理对自己文件夹的访问。假设用户Dave希望与用户Anne共享其受保护的文件。我该怎么做?

2) 一组用户如何访问bucket中相同的受限文件夹?在我的应用程序中,用户很少单独工作,他们会将文件上传到他们所属的组织。

以下是我到目前为止得到的政策,但它不适合我。有没有一种方法可以直接在S3中实现我想要的功能,或者我必须完成Lambda/Dynamo/S3设置?

我的应用程序中的每个组织和用户都需要一个独特的策略来实现这一点吗?这不是有点过分了吗?

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::BUCKETNAME/user/${cognito-identity.amazonaws.com:sub}",
                "arn:aws:s3:::BUCKETNAME/user/${cognito-identity.amazonaws.com:sub}/*"
            ]
        }
    ]
}