即使“aws s3 cp”可以工作，cfn-init也无法下载S3文件

Question

我有一个CloudFormation脚本，它使用AWS:：CloudFormation:：Init部分从S3存储桶下载一个文件，该文件因访问被拒绝而失败（403）。

我已经使用AWS::IAM::InstanceProfile向机器添加了名为s3access的IAM角色。使用aws s3下载文件有效：

[ec2-user@ip-172-31-26-26 ~]$ aws s3 cp s3://my-bucket/test-file 
.download: s3://my-bucket/test-file to ./test-file           

但是cfn-init失败了：

[ec2-user@ip-172-31-26-26 ~]$ sudo /opt/aws/bin/cfn-init -v --stack test --resource EC2 --region us-east-2
Error occurred during build: Failed to retrieve https://s3.us-east-2.amazonaws.com/my-bucket/test-file: HTTP Error 403 : 

我尝试显式设置IAM角色，但也失败了:

[ec2-user@ip-172-31-26-26 ~]$ sudo /opt/aws/bin/cfn-init -v --stack test --resource EC2 --region us-east-2 --role=s3access
AccessDenied: User: arn:aws:sts::196375698259:assumed-role/s3access/i-044499612c92b50f5 is not authorized to perform: cloudformation:DescribeStackResource on resource: arn:aws:cloudformation:us-east-2:196375698259:stack/test/*

我正在考虑使用aws s3 cp s3：//my-hop/test-file./直接从用户数据，但我想知道为什么AWS::CLoudForjation::Init无法承担分配给EC2实例的角色。

我只发现了一个类似的问题——我如何在CFN脚本中访问受保护的S3文件？，但解决方案是应用IAM角色，我已经这样做了，但< code>cfn-init仍然失败。

Answer 1

有一些方法可以为云形成实例提供您的IAM角色。

• 您可以将IAM角色的标识放入云形成模板中，例如在您的UserData中。但是，这会给您的IAM带来一些机密问题。
• 您可以将参数放在堆栈上，因此您可以在每次创建堆栈时指定IAM角色。这对于需要经常创建新堆栈的测试堆栈来说并不是很愉快。
• 最后一个是启动一个新实例并添加您的IAM角色，然后创建该实例的AMI。使用此AMI创建云形成堆栈实例。通过使用此选项，您可以确保您的s3命令首先在实例上工作，并且您不必处理参数和机密问题。

Answer 2

我需要将< code > AWS::cloud formation::authentic ation 添加到< code>EC2Instance的< code>Metadata中。详情请见:

https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-authentication.html#cfn-cloudformation身份验证角色名

例如：

EC2Instance:
    Type: 'AWS::EC2::Instance'    
        Metadata:  
            AWS::CloudFormation::Authentication:  
                 rolebased:  
                     type: S3  
                     roleName: !Ref EC2InstanceIAMRole  
                     buckets:  
                         - !Ref TemplateBucket  
            ...  

该角色可以访问相关的< code>TemplateBucket。

角色也分配给EC2实例。

有关该角色的一些详细信息如下：

https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html

在添加这个之前，我可以通过aws-cli从s3下载文件，但cfn-init不起作用，出现以下错误：

Error occurred during build: Failed to retrieve https://s3.amazonaws.com/FILE: HTTP Error 403 : <?xml version="1.0" encoding="UTF-8"?>
<Error><Code>AccessDenied</Code><Message>Access Denied</Message><RequestId>ID</RequestId><HostId>ID</HostId></Error>