amazon-web-services - 如何在 s3 存储桶上允许 GetBucketLocation 权限以创建 CA

Question

为了在 AWS 上更新 SSL 证书，CSR 需要 CA。

当我尝试配置和创建 CA 时，我得到了这样的信息:

ValidationException The ACM Private CA Service Principal 'acm-pca.amazonaws.com' requires 's3:GetBucketLocation' permissions for your S3 bucket 'MyBucket'. Check your S3 bucket permissions and try again

为此，Amazon S3 上的权限设置 > MyBucket> Permissions > Bucket Policy:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadGetObject",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::MyBucket/*"
        }
    ]
}

根据文档，可在此处找到: https://docs.aws.amazon.com/AmazonS3/latest/API/RESTBucketGETlocation.html

LocationConstraint 是必需的。

如何解决“s3:GetBucketLocation”问题并创建CA？

Answer 1

我曾经遇到过同样的问题，不得不通读 AWS 文档。

配置 CRL:如果您希望 ACM PCA 为您的私有(private) CA 吊销的证书维护一个证书吊销列表 (CRL)。

如果要创建 CRL，请执行以下操作:

1. 选择启用 CRL 分发
2. 要为您的 CRL 条目创建新的 S3 存储桶，请为创建新的 S3 存储桶选项选择是，然后输入唯一的存储桶名称。否则，选择否并从列表中选择现有存储桶。

如果您选择是，ACM PCA 会为您创建必要的存储桶策略。如果您选择否，请确保将以下策略附加到您的存储桶。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "acm-pca.amazonaws.com"
      },
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:GetBucketAcl",
        "s3:GetBucketLocation"
      ],
      "Resource": [
        "arn:aws:s3:::your-bucket-name/*",
        "arn:aws:s3:::your-bucket-name"
      ]
    }
  ]
}

AWS doc