本文旨在解决从AWS EC2实例访问完全公开的S3存储桶时遇到的"Access Denied"错误。通过检查EC2实例的角色权限，并为其分配具有适当S3访问权限的IAM角色，可以有效地解决此问题。本文将提供详细的步骤和示例，帮助您诊断和修复此类权限问题，确保EC2实例能够顺利访问S3存储桶。
在使用AWS服务时，经常会遇到权限问题，尤其是在尝试从EC2实例访问S3存储桶时。即使存储桶被配置为公开访问，EC2实例仍然可能因为缺少必要的IAM角色权限而无法执行操作，导致"Access Denied"错误。以下是解决此问题的详细步骤：
1. 理解IAM角色与权限
IAM角色是一种AWS身份，可以授予EC2实例或其他AWS资源访问特定AWS服务的权限。与用户不同，角色不与特定的人员关联，而是由需要权限的AWS服务承担。要使EC2实例能够访问S3存储桶，必须为其分配一个具有相应S3权限的IAM角色。
2. 诊断问题：确认EC2实例的角色
首先，需要确认EC2实例当前是否已分配IAM角色。可以通过以下步骤在AWS控制台中查看：
- 导航到EC2控制台。
- 选择出现问题的EC2实例。
- 在"详细信息"选项卡中，查找"IAM角色"部分。
如果未分配任何角色，或者分配的角色不包含访问S3存储桶所需的权限，则需要创建一个新的IAM角色或修改现有角色。
3. 创建或修改IAM角色
以下是创建IAM角色的步骤：
导航到IAM控制台。
选择"角色"，然后选择"创建角色"。
选择"AWS服务"作为受信任的实体类型，然后选择"EC2"。
-
在"权限"部分，搜索并选择适当的S3策略。
- AmazonS3FullAccess (不推荐用于生产环境): 提供对所有S3存储桶的完全访问权限。仅用于测试或开发环境。
- 自定义策略 (推荐): 创建自定义策略，仅授予EC2实例访问特定S3存储桶所需的权限。
4. 创建自定义IAM策略 (推荐)
为了遵循最小权限原则，建议创建一个自定义IAM策略，仅授予EC2实例访问特定S3存储桶的权限。以下是一个示例策略，允许对名为"mybucketname"的S3存储桶执行GetObject和PutObject操作：
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowSpecificS3Actions",
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:PutObject"
],
"Resource": [
"arn:aws:s3:::mybucketname",
"arn:aws:s3:::mybucketname/*"
]
}
]
}将此策略附加到IAM角色。在创建或编辑IAM角色时，选择“创建策略”选项，并将上述JSON代码粘贴到策略编辑器中。
5. 将IAM角色分配给EC2实例
创建或修改IAM角色后，将其分配给EC2实例：
- 导航到EC2控制台。
- 选择出现问题的EC2实例。
- 选择"操作"，然后选择"安全"，再选择"修改IAM角色"。
- 从下拉列表中选择您创建或修改的IAM角色。
- 保存更改。
6. 测试访问
完成上述步骤后，重新运行PHP SDK代码。EC2实例现在应该能够成功访问S3存储桶，而不会出现"Access Denied"错误。
示例代码 (PHP SDK)
require 'vendor/autoload.php';
use Aws\S3\S3Client;
use Aws\S3\Exception\S3Exception;
$s3 = new S3Client([
'version' => 'latest',
'region' => 'eu-west-2',
'credentials' => [
'key' => "YOUR_ACCESS_KEY", // 不推荐在生产环境硬编码凭证，使用IAM角色
'secret' => "YOUR_SECRET_KEY" // 不推荐在生产环境硬编码凭证，使用IAM角色
]
]);
$bucket = 'mybucketname';
$keyname = 'test_file.txt';
try {
$result = $s3->putObject([
'Bucket' => $bucket,
'Key' => $keyname,
'Body' => 'Hello',
'ACL' => 'public-read'
]);
echo $result['ObjectURL'] . PHP_EOL;
} catch (S3Exception $e) {
echo $e->getMessage() . PHP_EOL;
}注意事项
- 安全性： 避免使用AmazonS3FullAccess策略，因为它授予对所有S3存储桶的完全访问权限。使用自定义策略，仅授予EC2实例访问特定存储桶所需的权限。
- 凭证管理： 不要在代码中硬编码AWS访问密钥和密钥。使用IAM角色来管理EC2实例的AWS凭证。
- 区域： 确保S3客户端配置中的区域与S3存储桶所在的区域匹配。
- 缓存： IAM角色的更改可能需要几分钟才能生效。如果仍然遇到问题，请稍后重试。
- Bucket Policy与IAM Role: Bucket Policy和IAM Role都可以控制对S3资源的访问，但它们的作用范围不同。Bucket Policy作用于Bucket级别，而IAM Role作用于AWS账户中的用户或服务。两者可以结合使用，以实现更精细的访问控制。
总结
解决EC2实例访问公共S3存储桶时出现的"Access Denied"错误的关键在于正确配置EC2实例的IAM角色。通过创建或修改IAM角色，并为其分配具有适当S3权限的策略，可以确保EC2实例能够顺利访问S3存储桶。同时，遵循最小权限原则，使用自定义策略，并避免在代码中硬编码AWS凭证，可以提高安全性。
