restreindre l'accès au compartiment s3 uniquement aux instances ec2 spécifiques

Question

J'ai généré la politique ci-dessous mais elle permet toujours à toutes les autres instances ec2 d'accéder à mon compartiment. quel changement dois-je apporter à cette politique? ce que je veux est mon seau pour être accessible uniquement à l'instance que je l'ai mentionné et non à toute autre instance

{ 
    "Id": "Policy1507871740101", 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "Stmt1507871738318", 
     "Action": "s3:*", 
     "Effect": "Allow", 
     "Resource": "arn:aws:s3:::bucket/*, 
     "Principal": { 
     "AWS":"arn:aws:ec2:region:userid:instance/instanceid" 
     } 
    } 
    ] 
} 

Answer 1

Vous ne pouvez pas spécifier ID d'instance, mais vous pouvez spécifier l'adresse IP dans une politique S3.

Cependant, vous avez un autre problème. Si vos instances EC2 peuvent déjà accéder à S3, vous avez rendu le bucket public ou vous avez attribué un rôle à l'instance qui accorde l'autorisation. Revoyez ceci en premier. Trouvez vos trous de sécurité en premier.

Voici un exemple de politique pour les adresses IP en utilisant S3 pour accorder ou refuser l'accès:

{ 
    "Version": "2012-10-17", 
    "Id": "S3PolicyId1", 
    "Statement": [ 
    { 
     "Sid": "IPAllow", 
     "Effect": "Allow", 
     "Principal": "*", 
     "Action": "s3:*", 
     "Resource": "arn:aws:s3:::examplebucket/*", 
     "Condition": { 
     "IpAddress": {"aws:SourceIp": "54.240.143.0/24"}, 
     "NotIpAddress": {"aws:SourceIp": "54.240.143.188/32"} 
     } 
    } 
    ] 
} 

Answer 2

Juste pour le rendre plus clair: comme cela a été mentionné, vous devriez:

• retirer le seau la politique
• créer un rôle EC2 à la place
• attach ce rôle aux instances que vous voulez avoir accès
• modifier la politique de rôle

de l'échantillon est ci-dessous:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:DeleteObject", 
       "s3:GetObject", 
       "s3:PutObject" 
      ], 
      "Resource": "arn:aws:s3:::bucket_name/*" 
     }, 
     { 
      "Effect": "Allow", 
      "Action": "s3:ListBucket", 
      "Resource": "arn:aws:s3:::bucket_name" 
     }, 
     { 
      "Effect": "Allow", 
      "Action": "s3:ListAllMyBuckets", 
      "Resource": "arn:aws:s3:::" 
     } 
    ] 
} 

Ne hésitez pas à modifier la première instruction pour ajouter/supprimer des actions nécessaires.