允许 EC2 实例访问附加了拒绝策略的存储桶

Question

我有一个附加了拒绝策略的存储桶，或多或少像这样

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RestrictedAccess",
            "Effect": "Deny",
            "NotPrincipal": {
                "AWS": [
                    "arn:aws:iam::1234567890:user/someuser@somecompany",
                ]
            },
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::my-bucket",
                "arn:aws:s3:::my-bucket/*"
            ]
        }
    ]
}

很明显，即使我授予 IAM 用户/角色访问存储桶的 IAM 权限，上述Deny 仍将占上风。

现在，我想创建一个 EC2 实例，该实例也应该有权访问此存储桶。

我应该在这里添加什么类型的委托人

                "AWS": [
                    "arn:aws:iam::1234567890:user/someuser@somecompany",
                ]
            },

Answer 1

您必须将 EC2 实例正在使用的角色的 ARN 添加到您的拒绝异常并为您希望执行的 S3 操作的角色添加显式允许。