Politica AWS de citire/scriere RDS

În scenariul meu, vreau o politică care să permită citirea și scrierea abc-database-backups/rds/postgresql-backup pe S3? Vom dori ca serverele mele să aibă accesul adăugat.

Crearea unui rol și atașarea acestuia la servere este cea mai bună sau adăugarea unei chei la server?

Am incercat asta:

aws iam create-policy \
     --policy-name rds-s3-integration-policy \
     --policy-document '{
            „Versiune”: „2012-10-17”,
            "Afirmație": [
                {
                    „Efect”: „Permite”,
                    „Acțiune”: „s3:ListAllMyBuckets”,
                    „Resurse”: „*”
                },
                {
                    „Efect”: „Permite”,
                    "Acțiune": [
                        "s3:ListBucket",
                        "s3:GetBucketACL",
                        „s3:GetBucketLocation”
                    ],
                    „Resurse”: „arn:aws:s3:::bucket_name”
                },
                {
                    „Efect”: „Permite”,
                    "Acțiune": [
                        „s3:GetObject”,
                        „s3:PutObject”,
                        „s3:ListMultipartUploadParts”,
                        „s3:AbortMultipartUpload”
                    ],
                    „Resurse”: „arn:aws:s3:::nume_găleată/prefix_cheie/*”
                }
            ]
        }' 

Aș fi foarte recunoscător pentru orice ajutor, deoarece experiența mea în acest domeniu este oarecum limitată.

Folosește o rol legat de servicii pentru ca RDS să ofere acces la S3 și la orice alte resurse numite de care aveți nevoie. Asigurați-vă că instanța RDS are acest rol. Ar trebui să citești și tu acest doc despre importarea datelor S3 în RDS PostgreSQL folosind o extensie.

Am adaptat o infrastructură CloudFormation ca cod pe care îl am, care ar trebui să configureze un rol. Veți dori să modificați permisiunile și numele compartimentului pentru a se potrivi cerințelor dvs. Ar trebui să funcționeze așa cum este, dar a trebuit să-mi masez codul existent, așa că, dacă nu funcționează 100%, vă rugăm să editați postarea sau un comentariu pentru a-l putea edita.

AWSTemplateFormatVersion: '2010-09-09'
Descriere: Rol pentru RDS

Resurse:    
    RdsS3IntegrationRole:
        Tip: AWS::IAM::Rol
        Proprietăți:
            RoleName: RdsS3IntegrationRole
            AsumeRolePolicyDocument:
                Versiunea: 2012-10-17
                Afirmație:
                    -
                        Efect: Permite
                        Principal:
                            Serviciu:
                                - rds.amazonaws.com
                        Acțiune:
                            - sts:AssumeRole
                
    RDSS3Politica de integrare:
        Tip: AWS::IAM::Policy
        Proprietăți:
            Roluri:
                - !Ref „RdsS3IntegrationRole”
            PolicyName: RDSS3IntegrationPolicy
            Document de politică:
                Afirmație:
                    - Efect: Permite
                        Acțiune:
                            - s3:GetObject
                            - s3:ListBucket 
                            - s3:PutObject 
                        Resursă:
                            - !Sub „arn:aws:s3:::bucketname/*”
                            - !Sub „arn:aws:s3:::bucketname”
                    - Efect: Permite
                        Acțiune:
                            - kms:Decriptare
                            - kms:criptare
                            - kms:GenerateDataKey
                            - kms:ReEncryptTo
                            - kms:DescribeKey
                            - kms:ReEncryptFrom
                        Resursă:
                            - !Sub 'arn:aws:kms:ap-southeast-2:${AWS::AccountId}:key/*'