Comment (bien) télécharger privé S3 actif sur une nouvelle instance EC2 avec cloudinit?

Pour mettre à jour les réponses à cette question un peu:

Avec les rôles IAM, les nouveau AWS client de ligne de commande fait de l'extraction de ces actifs trivial. Il sera automatiquement extraire des informations d'identification AWS accordé via IAM de l'environnement et de la poignée de l'actualisation de ces informations d'identification.

Voici un exemple de l'extraction d'un seul actif à partir d'une sécurité S3 seau à l'utilisateur des données de script:

# Install the AWS command-line tools
pip install awscli

# Fetch the asset
aws s3 cp --region us-east-1 s3://my-private-bucket/a-folder/an-asset.zip /some/destination

Simple que cela. Vous pouvez également copier tout le contenu d'un répertoire à partir de S3 et téléchargés, etc. Voir le matériel de référence pour plus de détails et d'options.

OriginalL'auteur James van Dyke

À télécharger en toute sécurité privée S3 actif sur une nouvelle instance EC2, vous devez utiliser Les Rôles IAM pour EC2 d'accorder le nécessaire S3 permission de votre instance EC2, puis d'appeler aws s3 cp dans votre instance UserData cloudinit script pour télécharger l'actif.

À l'installation d'un Rôle IAM pour EC2 à partir d'un modèle CloudFormation, utilisez le AWS::IAM::InstanceProfile des ressources, la référence à un AWS::IAM::Rôle ressource avec une AssumeRolePolicyDocument de déléguer l'accès à ec2.amazonaws.com, avec une Politique visant à accorder des privilèges minimum (dans ce cas, permettant 's3:GetObject' que pour la S3 actifs en cours de téléchargement).

Voici un exemple complet de modèle qui télécharge un S3 actif sur une nouvelle instance EC2 à l'aide cloudinit, de retour à son contenu comme un La Sortie De Pile:

Description: (securely) download a private S3 asset onto a new EC2 instance with cloudinit
Parameters:
  S3Bucket:
    Description: S3 bucket name
    Type: String
  S3Key:
    Description: S3 object key
    Type: String
Mappings:
  # amzn-ami-hvm-2016.09.1.20161221-x86_64-gp2
  RegionMap:
    us-east-1:
      "64": "ami-9be6f38c"
Resources:
  EC2Role:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
        - Effect: Allow
          Principal: {Service: [ ec2.amazonaws.com ]}
          Action: ["sts:AssumeRole"]
      Path: /
      Policies:
      - PolicyName: EC2Policy
        PolicyDocument:
          Version: 2012-10-17
          Statement:
          - Effect: Allow
            Action: ['s3:GetObject']
            Resource: !Sub 'arn:aws:s3:::${S3Bucket}/${S3Key}'
  RootInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Path: /
      Roles: [ !Ref EC2Role ]
  WebServer:
    Type: AWS::EC2::Instance
    Properties:
      ImageId: !FindInMap [ RegionMap, !Ref "AWS::Region", 64 ]
      InstanceType: m3.medium
      IamInstanceProfile: !Ref RootInstanceProfile
      UserData:
        "Fn::Base64":
          !Sub |
            #!/bin/bash
            DATA=$(aws s3 cp s3://${S3Bucket}/${S3Key} -)
            /opt/aws/bin/cfn-signal \
              -e $? \
              -d "$DATA" \
              '${Handle}'
  Handle:
    Type: AWS::CloudFormation::WaitConditionHandle
  Wait:
    Type: AWS::CloudFormation::WaitCondition
    Properties:
      Handle: !Ref Handle
      Timeout: 300
Outputs:
  Result:
    Value: !GetAtt Wait.Data

OriginalL'auteur wjordan