AWS EC2使用IAM角色访问S3

Question

场景：我在同一个帐户下有一个EC2实例和一个S3 bucket，我在该EC2上的web应用程序希望访问该bucket中的资源。

在官方文档之后，我使用s3access创建了一个IAM角色，并将其分配给EC2实例。根据我的理解，现在我的web应用程序应该可以访问桶。但是，经过试验，我似乎必须添加AllowPublicRead桶策略，如下所示：

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "AllowPublicRead",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::mybucket/*"
        }
    ]
}

否则我就被禁止进入。

但是，既然我已经向EC2实例授予了S3AccessIAM角色，为什么还要使用这个AllowPublicRead桶策略呢？

Answer 1

S3S3:GetObject只允许从ec2实例访问对象，而您希望从Web应用程序访问这些对象，这意味着从浏览器访问这些对象，在这种情况下，这些图像/对象将呈现给用户浏览器，如果是面向公共的应用程序，则还需要分配AllowPublicRead权限。