設定對 Amazon S3 儲存貯體的存取權

透過IAM角色授予 RDS PostgreSQL 資料庫執行個體對 Amazon S3 的存取權

1. 建立IAM政策。

   此政策提供儲存貯體和物件許可，讓您的 RDS適用於 PostgreSQL 資料庫執行個體存取 Amazon S3。

   在政策中包含下列必要動作，以允許將檔案從 Amazon S3 儲存貯體傳輸至 Amazon： RDS

   • s3:GetObject

   • s3:ListBucket

   在政策中包含下列資源，以識別 Amazon S3 儲存貯體和儲存貯體中的物件。這會顯示用於存取 Amazon S3 的 Amazon Resource Name （ARN） 格式。

   • arn：aws：s3：：：amzn-s3-demo-bucket

   • arn：aws：s3：：：amzn-s3-demo-bucket/*

   如需為 forRDS Postgre SQL建立IAM政策的詳細資訊，請參閱 建立並使用 IAM 政策進行 IAM 資料庫存取。另請參閱 IAM 使用者指南 中的教學課程：建立和連接您的第一個客戶受管政策。

   下列 AWS CLI 命令會建立rds-s3-import-policy以這些選項命名IAM的政策。它授予名為 的儲存貯體存取權 amzn-s3-demo-bucket.

   注意

   記下此命令傳回之政策的 Amazon Resource Name （ARN）。當您將政策連接至IAM角色時，需要在後續步驟ARN中取得 。

   範例

   用於 Linux, macOS、 或 Unix:

   aws iam create-policy \
      --policy-name rds-s3-import-policy \
      --policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Sid": "s3import",
            "Action": [
              "s3:GetObject",
              "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
              "arn:aws:s3:::amzn-s3-demo-bucket", 
              "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ] 
          }
        ] 
      }'                     

   用於 Windows:

   aws iam create-policy ^
      --policy-name rds-s3-import-policy ^
      --policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Sid": "s3import",
            "Action": [
              "s3:GetObject",
              "s3:ListBucket"
            ], 
            "Effect": "Allow",
            "Resource": [
              "arn:aws:s3:::amzn-s3-demo-bucket", 
              "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ] 
          }
        ] 
      }'             

2. 建立 IAM 角色。

   您可以這麼做，以便 Amazon RDS 可以擔任此IAM角色來存取您的 Amazon S3 儲存貯體。如需詳細資訊，請參閱 IAM 使用者指南 中的建立角色以將許可委派給IAM使用者。

   建議您在資源型政策中使用 aws:SourceArn 和 aws:SourceAccount 全域條件內容索引鍵，將服務的許可限定於特定資源。這是防止混淆代理人問題最有效的方式。

   如果同時使用這兩個全域條件內容索引鍵，且 aws:SourceArn 值包含帳戶 ID，則在相同政策陳述式中使用 aws:SourceAccount 值和 aws:SourceArn 值中的帳戶時，必須使用相同的帳戶 ID。

   • 如果您想要跨服務存取單一資源，請使用 aws:SourceArn。

   • 如果您想要允許該帳戶中的任何資源與跨服務使用相關聯，請使用 aws:SourceAccount。

   在政策中，請務必使用具有完整資源ARN的aws:SourceArn全域條件內容索引鍵。下列範例示範如何使用 AWS CLI 命令建立名為 的角色rds-s3-import-role。

   範例

   用於 Linux, macOS、 或 Unix:

   aws iam create-role \
      --role-name rds-s3-import-role \
      --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                   "aws:SourceAccount": "111122223333",
                   "aws:SourceArn": "arn:aws:rds:us-east-1:111122223333:db:dbname"
                   }
                }
          }
        ] 
      }'

   用於 Windows:

   aws iam create-role ^
      --role-name rds-s3-import-role ^
      --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                   "aws:SourceAccount": "111122223333",
                   "aws:SourceArn": "arn:aws:rds:us-east-1:111122223333:db:dbname"
                   }
                }
          }
        ] 
      }'

3. 將您建立IAM的政策連接至您建立IAM的角色。

   下列 AWS CLI 命令會將上一個步驟中建立的政策連接至名為rds-s3-import-role取代的角色ARN，your-policy-arn其具有您在先前步驟中記下的政策。

   範例

   用於 Linux, macOS、 或 Unix:

   aws iam attach-role-policy \
      --policy-arn your-policy-arn \
      --role-name rds-s3-import-role                    

   用於 Windows:

   aws iam attach-role-policy ^
      --policy-arn your-policy-arn ^
      --role-name rds-s3-import-role    

4. 將IAM角色新增至資料庫執行個體 。

   您可以使用 AWS Management Console 或 來執行此操作 AWS CLI，如下所述。