仅可从我的 ElasticBeanStalk 实例访问 AWS S3 存储桶

Question

我有 1 个 s3 存储桶，1 个 elasticbeanstalk 实例。 目前我的 s3bucket 是公开的，因此它可以从任何域访问，甚至从我的本地主机。 我希望我的所有 s3 存储桶资源只能在我的 APP 托管/运行的地方从我的 EBS 实例访问。 我的应用程序应该能够查看这些资源并将新图像/资源上传到此存储桶。 我敢肯定有人已经这样做了。

Answer 1

控制对 S3 的访问有多种方式。 使某些内容可私有访问的最佳做法是：不要在存储桶策略中授予任何访问 S3 存储桶/文件的权限。

但是，您应该创建一个 IAM 角色，该角色具有对 S3 的完全访问权限，或对某些操作、某些存储桶的有限访问权限。

对于每个 EC2 实例以及每个 Elastic Beanstalk 环境，您都可以附加一个 IAM 角色。 此角色将通过实例元数据自动提供给您的实例。 这是为您的实例赋予特殊权限的安全方式。

（注意：这是 AWS 安全最佳实践，因为 AWS 将处理您的 EC2 设备上的密钥轮换。）