1단계에서 생성한 S3 버킷에 액세스하려면 해당 버킷 정책에서 관리형 EC2 인스턴스에 연결된 IAM 인스턴스 프로파일 역할을 허용해야 합니다. 버킷 정책을 생성하거나 버킷 액세스 제어 목록(ACL)의 AWS 구성원 계정에 대한 액세스 권한을 부여할 수 있습니다. 구성원 계정에는 EC2 인스턴스가 포함되어야 합니다.

버킷 정책을 추가할 때 다음 샘플 코드를 참조하십시오.

{
    "Version": "2012-10-17",
    "Id": "S3PolicyforServiceNowIAMrole",
    "Statement": [
        {
            "Sid": "EC2S3Access",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AWS-ACCOUNT:role/INSTANCE-PROFILE-ROLE-NAME"
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
        }
    ]
}

위치

• SOURCE-AWS-ACCOUNT 는 EC2 인스턴스를 포함하는 구성원 계정의 AWS 계정 ID입니다.
• INSTANCE-PROFILE-ROLE-NAME 은 EC2 인스턴스에 연결된 IAM 인스턴스 프로파일입니다.

  기본적으로 AmazonSSMForInstancesRoleSetup.yml 스크립트는 AmazonSSMForInstancesRole IAM 인스턴스 프로파일 역할을 생성하고 해당 역할을 AmazonSSMManagedInstanceCore 버킷 정책에 연결합니다. 설정에 필요한 스크립트 실행 AWS 문서를 참조하십시오.

• DOC-EXAMPLE-BUCKET 은 S3 버킷 이름입니다.

다음 예제 버킷 정책은 효과, 주체, 작업 및 자원 요소를 보여줍니다. 이 정책은 myS3Bucket 버킷에 대한 ID 123456789000, s3:GetObject, s3:PutObject 및 s3:PutObjectAcl S3 권한이 있는 계정의 IAM 인스턴스 프로파일 역할인 AmazonSSMRoleForInstances를 허용합니다.

{
    "Version": "2012-10-17",
    "Id": "S3PolicyforServiceNowIAMrole",
    "Statement": [
        {
            "Sid": "EC2S3Access",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::123456789000:role/AmazonSSMRoleForInstances",
                    "arn:aws:iam::123456789001:role/AmazonSSMRoleForInstances",
                    "arn:aws:iam::123456789002:role/AmazonSSMRoleForInstances",
                    "arn:aws:iam::123456789003:role/AmazonSSMRoleForInstances",
                    "arn:aws:iam::123456789004:role/AmazonSSMRoleForInstances"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:::myS3Bucket/*"
        }
    ]
}

다음 샘플 정책과 같이 관리형 EC2 인스턴스에 연결된 IAM 인스턴스 프로파일 역할에는 s3:GetObject, s3:PutObject 및 s3:PutObjectAcl S3 권한이 있어야 S3 버킷에 대한 액세스를 허용할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
        "Sid": "PublishTerminalOutputToS3",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
        }
    ]
}