Доступ к Elastic Beanstalk S3 через .ebextensions

У меня есть простой файл в моей .ebextensionsпапке:

00-myconfig.config

Resources:
    AWSEBAutoScalingGroup:
        Metadata:
            AWS::CloudFormation::Authentication:
                S3Access:
                    type: S3
                    roleName: aws-elasticbeanstalk-ec2-role
                    buckets: my-bucket
files:
    "/tmp/ca-bundle.zip":
        mode: "000755"
        owner: root
        group: root
        source: https://s3-ap-southeast-2.amazonaws.com/my-bucket/ca/ca-bundle.zip
        authentication: S3Access

Что в соответствии с несколькими ответами является способом предоставления доступа к aws-elasticbeanstalk-ec2-roleроли S3 Bucket .

Но я продолжаю получать ошибку 403 в /var/log/eb-activity.log

[2015-08-26T01:27:03.544Z] INFO  [22320] - [Application update/AppDeployStage0/EbExtensionPreBuild/Infra-EmbeddedPreBuild] : Activity execution failed, because: Failed to retrieve https://s3-ap-southeast-2.amazonaws.com/my-bucket/ca/ca-bundle.zip: HTTP Error 403 : <?xml version="1.0" encoding="UTF-8"?> (ElasticBeanstalk::ExternalInvocationError)

Если я вручную добавлю политику доступа S3 к aws-elasticbeanstalk-ec2-roleроли, все будет работать, так что я знаю, что у меня нет орфографических ошибок в URL-адресах или чем-то еще, экземпляр EC2 определенно находится в правильной роли.

Что не так?

PS. Я пробовал filesраздел с или без настройки «аутентификации».

— Strelok
источник

Я понял это, и я чувствую себя немного глупо, что не поднял это раньше.

Таким образом, для любого, кто использует AWS::CloudFormation::Authenticationпуть, решение, конечно, таково:

Убедитесь, что ваша политика BUCKET разрешает вашу роль aws -asticbeanstalk-ec2. DOH !!

Это должно выглядеть примерно так:

{
    "Id": "Policy1111Blah",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1440Blah",
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::my-bucket/*",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::11111111111:role/aws-elasticbeanstalk-ec2-role"
                ]
            }
        }
    ]
}

Вы можете получить ARN с консоли IAM.

Инструкции в ваших конфигурационных файлах .ebextensions сообщают только инструментам развертывания EB, что использовать для аутентификации, но ваша корзина с исходным кодом (если она, очевидно, частная) должна разрешать этот основной доступ !!!

— Strelok
источник