僅可從我的 ElasticBeanStalk 實例訪問 AWS S3 存儲桶

Question

我有 1 個 s3 存儲桶，1 個 elasticbeanstalk 實例。 目前我的 s3bucket 是公開的，因此它可以從任何域訪問，甚至從我的本地主機。 我希望我的所有 s3 存儲桶資源只能在我的 APP 托管/運行的地方從我的 EBS 實例訪問。 我的應用程序應該能夠查看這些資源並將新圖像/資源上傳到此存儲桶。 我敢肯定有人已經這樣做了。

Answer 1

控制對 S3 的訪問有多種方式。 使某些內容可私有訪問的最佳做法是：不要在存儲桶策略中授予任何訪問 S3 存儲桶/文件的權限。

但是，您應該創建一個 IAM 角色，該角色具有對 S3 的完全訪問權限，或對某些操作、某些存儲桶的有限訪問權限。

對於每個 EC2 實例以及每個 Elastic Beanstalk 環境，您都可以附加一個 IAM 角色。 此角色將通過實例元數據自動提供給您的實例。 這是為您的實例賦予特殊權限的安全方式。

（注意：這是 AWS 安全最佳實踐，因為 AWS 將處理您的 EC2 設備上的密鑰輪換。）