Как задать роль для bucket policy в aws?

Question

[Jake Taylor]

Создал я IAMроль (ссылка для создания) с именем role-one.
Создал я бакет и перешёл в раздел Edit bucket policy и не могу понять как применить роль role-one. к данному S3 бакету. Как я понял, это осуществялется только с помощью JSON?

Если да, то, подскажите, как задать роль?

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "Statement1",
			"Principal": {},
			"Effect": "Allow",
			"Action": [],
			"Resource": [],
		}
	]
}

Comments

[mureevms]

Посмотрите эту ветку. Если не справитесь, помогу

[Jake Taylor]

mureevms, я вот чего не могу понять, в JSON нигде не указывается никаких идентификаторов роли. Каким образом роль привязывается к бакету?

[mureevms]

Jake Taylor, опишите словами, что требуется. Не то, что пробовали и что не получилось, а просто как бы вы ставили задачу исполнителю

[Jake Taylor]

mureevms,
Вот есть задача:

Application Role Creation In order to access S3 bucket from within your application deployed in EC2 you must make it under authorized identity. The common approach is to assign a service role that we are to create beforehand.
- Go to IAM section and navigate to Roles section.
- Under the section Common use cases select EC2 and assign AmazonS3ReadOnlyAccess permission policy on Role.
- Save just created Role.

Upload Application Jar to AWS S3
- Create mjc--jar S3 bucket.
- Make sure the bucket is available for the role created on the step above only. It might be achieved through Bucket Policy.
- Upload your application jar file to the newly created bucket.

Интересует пункт: Make sure the bucket is available for the role created on the step above only. It might be achieved through Bucket Policy.

[mureevms]

Jake Taylor, понятно)
IAM роль это такая сущность (роль :)), которая маппится к ресурсам AWS, например к инстансам, что позволяет без использования ключей пользователей осуществлять доступ к другим ресурсам AWS. Например, от инстанса к бакету.
Чтобы настроить такой доступ, надо в роли прописать JSON доступа к бакету и приаттачить эту роль к нужным инстансам. На стороне бакета ничего дополнительно делать не требуется, если не имеется ввиду запрета читать какие-то данные или писать в определенные каталоги

[Jake Taylor]

mureevms,

Чтобы настроить такой доступ, надо в роли прописать JSON доступа к бакету и приаттачить эту роль к нужным инстансам.

Как это сделать? Этот конченный aws , ничего не понятно)

[mureevms]

Jake Taylor,
> Under the section Common use cases select EC2 and assign AmazonS3ReadOnlyAccess permission policy on Role.
Тут сказано, что надо ридонли доступ, так что можно обойтись простым тыканьем мышкой и не писать JSON.
Примерно так: В созданной роли тыкнуть кнопку Attach policies и в поиске ввести AmazonS3ReadOnlyAccess. Выделить чекбокс, далее все понятно.
Затем перейти к настройкам инстанса, выделить нужный кнопка Action > Security > Modify IAM role. Там выбрать нужную роль.
Так же, можно ограничить доступ до бакета только этой ролью, но не сильно критично, поскольку публичный доступ к бакету закрыт. Под рукой нет конфига, чтобы подсказать, но раз в условии задачи есть, то гуглится легко, вы справитесь )

[Jake Taylor]

mureevms, Именно так и сделал, спасибо)