使用AWS EC2标记确定S3访问策略

我认为不可能为多种情况制定一项政策。

最接近的方法是 IAM Policy Elements: Variables - AWS Identity and Access Management ,但这不允许使用任意值,也不能用于从EC2实例检索标记。

似乎没有办法做到这一点,因为iams3策略无法回溯“呼叫者标签”。

但是可以做的是查找分配给EC2实例的IAM角色的标记。不幸的是 GetObject 行动是 s3:ExistingObjectTag/<key> ,它对S3对象而不是S3 bucket本身起作用。

使用上述内容的简化策略如下所示:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListBucket",
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::<S3_BUCKET_NAME>"
            ]
        },
        {
            "Sid": "AllowROcheckTag",
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::<S3_BUCKET_NAME>/*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/<TAG_ON_S3_OBJECT>": "aws:RequestTag/<TAG_ON_IAM_ROLE_ASSIGNED_TO_EC2>}"
                }
            }
        }
    ]
}

在上述情况下,将是分配给EC2实例的IAM角色及其标记驱动对S3 bucket中对象的访问。

here