如何使用 SES 主体和 IAM 角色主体编写 AWS 存储桶策略

Question

我最初设置 SES 来接收电子邮件，在此过程中，我创建了一个存储桶策略，允许该服务将电子邮件放入 S3。我现在有一个 lambda 函数，它应该能够使用 STS 承担角色并访问同一个存储桶。不幸的是，我无法找出正确的策略来允许服务和 IAM 角色访问同一个存储桶，现在我得到“拒绝访问”。我使用策略模拟器来验证其他所有功能是否正常运行，例如，我添加了一个通用策略，其中包含针对目标角色的更多操作，如果我告诉模拟器忽略存储桶策略，那么它会说它可以访问文件。

我尝试了两个语句，一个将主体设置为“服务”，另一个设置为目标角色（添加两个只是为了看看是否可以工作）

{
"Version": "2012-10-17",
"Id": "Policy1478013193612",
"Statement": [
    {
        "Sid": "Stmt1478013187203",
        "Effect": "Allow",
        "Principal": {
            "Service": "ses.amazonaws.com"
        },
        "Action": [
            "s3:PutObject",
            "s3:GetObject"
        ],
        "Resource": "arn:aws:s3:::email-01-bucket/*"
    },
    {
        "Sid": "Stmt55",
        "Effect": "Allow",
        "Principal": {
            "AWS": [
                "arn:aws:sts::[id-num-with-no-dashes]:assumed-role/[role-name]/[session-name]",
                "arn:aws:iam::[id-num-with-no-dashes]:role/[role-name]"
            ]
        },
        "Action": [
            "s3:PutObject",
            "s3:GetObject"
        ],
        "Resource": "arn:aws:s3:::email-01-bucket/*"
    }
]
}

我也尝试将它放在 1 语句中：

{
"Version": "2012-10-17",
"Id": "Policy1478013193612",
"Statement": [
    {
        "Sid": "Stmt1478013187203",
        "Effect": "Allow",
        "Principal": {
            "AWS": [
                "arn:aws:sts::[id-num-with-no-dashes]:assumed-role/[role-name]/[session-name]",
                "arn:aws:iam::[id-num-with-no-dashes]:role/[role-name]"
            ],
            "Service": "ses.amazonaws.com"
        },
        "Action": [
            "s3:PutObject",
            "s3:GetObject"
        ],
        "Resource": "arn:aws:s3:::email-01-bucket/*"
    }
]
}

顺便说一句，文件路径是： arn:aws:s3:::email-01-bucket/email/[file-id]

我无法放入 ListBucket，因为它会引发错误。

任何帮助表示赞赏：D

如果我应该添加其他内容，请告诉我

[更新]

为了使找到正确的策略更容易，我将描述我目前在 IAM 策略模拟器中设置的内容，我假设如果我们可以让它在这里工作，那么它应该可以在 lambda 函数上工作。

角色：服务开发

此角色附加了两个策略。

1) 服务文件系统：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:GetObject",
            "s3:PutBucketLogging",
            "s3:ListBucket"
        ],
        "Resource": "arn:aws:s3:::email-01-bucket/*"
    }
]
}

2) AWSLambdaBasicExecutionRole

{
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogGroup",
            "logs:CreateLogStream",
            "logs:PutLogEvents"
        ],
        "Resource": "*"
    }
]
}

在策略模拟器中：

下拉列表Select Service 设置为S3

下拉列表Select Action 设置为GetObject

在Resource > Object 下输入现有文件arn:aws:s3:::email-01-bucket/email/u245hnt85uivpfkrrlhgo0jt86gfjgnca2fgocg1 的路径（在仔细检查文件是否确实存在之后）

一旦我这样做了，现在左侧有一个 Resource Policies 部分，它向我显示了附加到我的存储桶的存储桶策略，其中包含以下策略：

{
"Version": "2012-10-17",
"Id": "Policy1478013193612",
"Statement": [
    {
        "Sid": "Stmt1478013187203",
        "Effect": "Allow",
        "Principal": {
            "Service": "ses.amazonaws.com"
        },
        "Action": "s3:PutObject",
        "Resource": "arn:aws:s3:::email-01-bucket/*"
    }
]
}

现在这里是我迷路的地方，回到Resource > Object 区域，我在该区域指定现有文件的路径，如果我取消选中，则有一个标记为Include Resource Policy 的复选框> 然后模拟器说允许该权限，但是如果我 check 它然后我得到以下错误： The simulation could not be performed! : Simulation failed!

Answer 1

据我了解您的要求，您需要一个 S3 存储桶策略（以允许 SES 将对象放入您的 S3 存储桶），并且您需要一个 IAM 角色，您的 Lambda 函数将使用该角色列出该存储桶并放置/获取那个桶里的对象。 IAM 角色还需要信任关系，允许 AWS Lambda 服务代表您代入该角色（这样您就不必在代码中手动代入该角色）。

具体来说：

• 不要将 Lambda 权限添加到 S3 存储桶策略
• 不要在 Lambda 中使用 STS 来承担角色；只需使用该角色配置 Lambda
• 通常情况下，您不必在 Lambda 函数中显式编写与担任角色或获取权限相关的任何内容（Lambda 服务会为您完成这一切）

S3 存储桶策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSESPuts",
            "Effect": "Allow",
            "Principal": {
                "Service": "ses.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::BUCKET-NAME/*",
            "Condition": {
                "StringEquals": {
                    "aws:Referer": "AWSACCOUNTID"
                }
            }
        }
    ]
}

IAM 角色：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "sidlist",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::BUCKET-NAME"
        },
        {
            "Sid": "sidputget",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::BUCKET-NAME/*"
        }
    ]
}

IAM 角色的信任关系：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "lambda.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

我不确定您为什么在示例中包含 s3:PutBucketLogging，但如果您确实需要它，请将其添加到 Lambda 的 IAM 角色中，以针对 arn:aws:s3:::BUCKET-NAME 资源（而不是 arn: aws:s3:::BUCKET-NAME/* 资源——这是对存储桶而不是对象的操作）