AWS 哪个 IAM 角色用于 S3 预签名 URL

Question

我正在一个需要能够为 s3 创建预签名 URL 的 ec2 实例中部署一个服务器程序。到目前为止，我已经在环境变量中拥有我的 AWS 凭证以进行测试，但我现在想切换到 IAM 角色策略。但是，我不确定该角色也应该有权访问哪些策略。我最初的猜测是拥有 AmazonS3FullAccess，但描述说“通过 AWS 管理控制台提供对所有存储桶的完全访问权限”，但 ec2 实例将使用 c++ sdk，而不是管理控制台。还是政策不重要，只是它有一个政策，所以它以某种方式获得凭据？

Answer 1

您混淆了政策和角色。

策略将权限授予用户、角色或组。

用户和角色之间的区别是微妙的，但基本上，角色是由 AWS 中的其他服务（如 EC2 实例）承担的东西，而用户通常只是您为在 AWS 中使用而创建的身份。

完全访问权限的策略描述可能会提到管理控制台，但它授予对所有存储桶的完全访问权限，无论是通过控制台、api 还是 sdk，它们实际上都是同一回事。

您不应使用完全访问策略。您可以将其用作构建实际策略的基础，但 IAM 应始终使用最低权限的委托人，在这种情况下您只授予绝对需要的权限，在这种情况下，该角色只需要读取并可能列出特定存储桶的权限如果生成用于阅读的 url，或者如果允许上传，则设置权限。