AWS: расхождения в разрешениях IAM

Question

Я готовлю кластер ECS с использованием этого шаблона, предоставленного AWS.

Я также хочу добавить файл из s3 корзины, но при добавлении следующего

 files:
    "/home/ec2-user/.ssh/authorized_keys":
      mode: "000600"
      owner: ec2-user
      group: ec2-user
      source: "https://s3-eu-west-1.amazonaws.com/mybucket/myfile"

инициализация завершается с этой ошибкой в ​​/var/log/cfn-init.log

[root@ip-10-17-19-56 ~]# tail -f /var/log/cfn-init.log 
  File "/usr/lib/python2.7/dist-packages/cfnbootstrap/construction.py", line 251, in build
    changes['files'] = FileTool().apply(self._config.files, self._auth_config)
  File "/usr/lib/python2.7/dist-packages/cfnbootstrap/file_tool.py", line 138, in apply
    self._write_file(f, attribs, auth_config)
  File "/usr/lib/python2.7/dist-packages/cfnbootstrap/file_tool.py", line 225, in _write_file
    raise ToolError("Failed to retrieve %s: %s" % (source, e.strerror))
ToolError: Failed to retrieve https://s3-eu-west-1.amazonaws.com/mybucket/myfile: HTTP Error 403 : <?xml version="1.0" encoding="UTF-8"?>
<Error><Code>AccessDenied</Code><Message>Access Denied</Message><RequestId>C6CDAC18E57345BF</RequestId><HostId>VFCrqxtbAsTeFrGxp/nzgBqJdwC7IsS3phjvPq/YzhUk8zuRhemquovq3Plc8aqFC73ki78tK+U=</HostId></Error>

Однако изнутри экземпляра (без вышеприведенного раздела) следующая команда выполняется успешно!

aws s3 cp s3://mybucket/myfile .

Answer 1

Необходимо использовать ресурс AWS::CloudFormation::Authentication, чтобы указать учетные данные для аутентификации для файлов или источников, которые вы указываете с помощью ресурса AWS :: CloudFormation :: Init.

Пример:

Metadata:
  AWS::CloudFormation::Init:
  ...
  AWS::CloudFormation::Authentication: 
    S3AccessCreds: 
      type: "S3"
      buckets: 
        - "mybucket"
      roleName: 
        Ref: "myRole"