Maneira segura de lidar com uploads do S3

Preciso criar um bucket do S3 para hospedar os ativos carregados pelos meus usuários.

Eu tentei criar um usuário do IAM dedicado ao S3 que basicamente significa: - acessar apenas o S3 e nada mais - programaticamente - acessar apenas os buckets que ele precisa - sem gerenciamento de buckets, não precisa

Aqui está a política anexada a este usuário:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "s3:DeleteObjectTagging",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersionTagging",
                "s3:PutObjectVersionTagging",
                "s3:DeleteObjectVersionTagging",
                "s3:PutObject",
                "s3:GetObjectAcl",
                "s3:GetObject",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectTagging",
                "s3:PutObjectTagging",
                "s3:GetObjectVersionForReplication",
                "s3:DeleteObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::my-bucket/"
        }
    ]
}

Esta política é chamada AssetManager e se eu list-user

ngw@bluemonday  ~  aws iam list-users --profile utelier-admin
{
    "Users": [
        {
            "Path": "/",
            "UserName": "AssetManager",
            "UserId": "USERID",
            "Arn": "arn:aws:iam::1234567890:user/AssetManager",
            "CreateDate": "2018-09-16T13:05:32Z"
        }
    ]
}

Então tento criar o bucket my-buckete estou meio perdido, não sei quando e onde adicionar meu novo usuário brilhante. Vejo que posso adicionar minha "conta" ou até mesmo acessar "outras contas da AWS", mas nenhuma menção ao meu usuário do IAM, isso é muito confuso.

Resultado: minha configuração atual não funciona:

2.5.1 :005 > require 'aws-sdk-s3'
 => false
2.5.1 :006 > s3 = Aws::S3::Resource.new(region:'eu-west-1', access_key_id: 'ACCESSKEY', secret_access_key: 'SECRET')
 => #<Aws::S3::Resource:0x00007fc88d384b88 @client=#<Aws::S3::Client>>
2.5.1 :007 > obj = s3.bucket('my-bucket').object('test.jpg')
 => #<Aws::S3::Object:0x00007fc88d6cb4b8 @bucket_name="my-bucket", @key="test.jpg", @data=nil, @client=#<Aws::S3::Client>>
2.5.1 :008 > obj.upload_file('/Users/ngw/something.jpg')
Traceback (most recent call last):
        ...
        1: from /Users/ngw/.rvm/gems/ruby-2.5.1/gems/aws-sdk-core-3.27.0/lib/seahorse/client/plugins/raise_response_errors.rb:15:in `call'
Aws::S3::Errors::AccessDenied (Access Denied)

Alguém pode dar uma luz? Desde já, obrigado.