amazon-web-services - AWS EC2 使用 IAM 角色访问 S3

Question

场景:我在同一个账户下有一个 EC2 实例和一个 S3 存储桶，我在该 EC2 上的网络应用程序想要访问该存储桶中的资源。

根据官方文档，我使用 s3access 创建了一个 IAM 角色并将其分配给 EC2 实例。据我了解，现在我的网络应用程序应该能够访问存储桶。但是，经过试验，我似乎必须添加这样的 allowPublicRead 存储桶策略:

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "AllowPublicRead",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::mybucket/*"
        }
    ]
}

否则我会被禁止访问。

但我为什么要使用此 allowPublicRead 存储桶策略，因为我已经向 EC2 实例授予了 s3access IAM 角色？

Answer 1

S3 s3:GetObject 将只允许从您的 ec2 实例访问对象，您想要的是从您的网络应用程序访问这些对象，这意味着从您的浏览器访问这些对象，在本例中为这些图像/对象将呈现给用户浏览器，如果它是面向公众的应用程序，那么您还需要分配 AllowPublicRead 权限。