如何解决使用Codebuild时的S3策略
首先,对不起我的英语。我正在使用CodeBuild开发CodepPipeline,以将React应用程序部署到S3。在测试环境中可以,但是当我在暂存环境中部署它时,出现“访问被拒绝”错误:
调用PutObject操作时发生错误(AccessDenied):访问被拒绝
之所以发生这种情况,是因为在暂存环境中,S3 Bucket已经有了一些策略。它是这样的:
{
"Version": "2008-10-17","Id": "PolicyForCloudFrontPrivateContent","Statement": [
{
"Sid": "1","Effect": "Allow","Principal": {
"AWS": "arn:aws:iam::cloudfront:user/CloudFront ABC"
},"Action": "s3:Getobject","Resource": "arn:aws:s3:::s3staging/*"
},{
"Sid": "IPAllow","Effect": "Deny","Principal": {
"AWS": "*"
},"Action": "s3:*","Resource": "arn:aws:s3:::s3staging/*","Condition": {
"NotIpAddress": {
"aws:SourceIp": [
"11.11.1.11/11" *VPN Address
.... Another Ip range (s)
]
}
}
}
]
}
我知道它仅允许来自CloudFront的请求并从VPN地址进行部署。但是现在我需要从CodeBuild部署它。因此,在不修改现有策略的情况下,我试图通过在aws:SourceIp中从我所在的区域添加代码构建的IP:13.112.191.184/29来修复它,希望它允许代码构建在S3上删除和创建文件。不幸的是,它不起作用。
我尝试了很多方法,例如允许CodeBuild的serviceRole的ARN,但它也不起作用。
{
"Sid": "Stmt1599214911530","Resource": "arn:aws:s3:::s3test-resopa-pwa/*","Principal": {
"AWS": [
"arn:aws:iam::123456:role/service-role/AWSCodePipelineserviceRole-ap-northeast-1-staging"
]
}
}
有经验的人可以在这个问题上帮助我吗?如果能给我一些建议,我将不胜感激。非常感谢。
解决方法
解决了。
"Condition": {
"ArnNotEquals": {
"aws:PrincipalArn": "arn:aws:iam::codebuild-role"
},"NotIpAddress": {
"aws:SourceIp": [
"153.156.28.29/32",... Others IP Range
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。