传递使用IAM角色

Question

我对使用EC2和EMR的IAM角色有疑问。这是我目前的设置：

我推出了具有特定IAM角色的EC2机器（让我们称这个角色为'admin'）。我的工作流程是从该计算机上传文件到S3，然后创建一个具有特定IAM角色的EMR集群（“跑步者”角色）。 EMR集群适用于从管理员机器上传到S3的文件。 Admin是一个具有所有AWS服务中所有API权限的角色。 Runner可以访问EMR，EC2和S3中的所有API。

由于某种原因，EMR群集无法访问S3中加载的输入文件。它不断从s3获得“访问被拒绝”异常。

我想从一个IAM角色写入s3并从另一个IAM角色中读取它是导致该问题的原因。

对于此处出现问题或是否支持用例的任何想法都表示赞赏。

谢谢！

Answer 1

http://blogs.aws.amazon.com/security/post/TxPOJBY6FE360K/IAM-policies-and-Bucket-Policies-and-ACLs-Oh-My-Controlling-Access-to-S3-Resourc

S3对象受到三种保护，如我链接的帖子所示。

1. 您的IAM角色需要获得读取S3对象的权限。
2. S3存储桶策略必须允许您的IAM角色访问该对象。
3. 特定对象的S3 ACL还必须允许您的IAM角色访问该对象。