EC2 Role の使い方について

Question

AWS キーがなくても EC2 自体にロールを割り当ててつけるポリシーを調整すればいいみたいな記事をいくつかよんだのですが
具体的な設定方法がわかりません

試しに EC2 Role を作成して試しにデフォルトにある AmazonS3FullAccess を付与
このロールを EC2 に付与してから
その EC2 に ssh して bash 上で

aws s3 ls

をたたいてみたんですが

An error occurred (AccessDenied) when calling the ListBuckets operation: Access Denied

になります

実行したユーザは ~/.aws/config がないのですがここに EC2 ロールを使うみたいな設定が必要なのでしょうか
記事をいくつかみたんですが EC2 にロールをつけるだけという記事ばかりでなぜ動かないのかわかりません

また EC2 上で動く ruby php python プログラムで aws_sdk を使って s3 や athena にアクセスしてるのですが
そのプログラム内でも S3::Client.new としただけで credentials を渡さなくても動くようになるのでしょうか

Comments

[Orlofsky]

URLは https://teratail.com/help#about-markdown の [リンク] に修正してください。

[Orlofsky]

編集しては？って書いたつもりだけど、URLを削除したら質問の内容がわからなくなって、コメントが付かなくなるのでは？

Answer 1

自分の環境で確認しました。

まず、RoleをアタッチすればEC2内からAWS CLI の実行はRoleの権限を参照して実行されるようになります。
が、aws configure 実行時点で各値がNoneでない場合は、正常にロールの権限を参照することができません。

[user-name@ip-xxx-xxx-xxx-xxx ~]$ aws configure

AWS Access Key ID [None]:
AWS Secret Access Key [None]:
Default region name [None]:
Default output format [None]:

[user-name@ip-xxx-xxx-xxx-xxx ~]$ aws s3 ls

2019-07-06 00:00:19 bucket-1
2019-07-06 00:00:43 bucket-2
2019-07-06 00:00:55 bucket-3

正常に動作している場合は、SDKもclient new あたりで権限の取得も同時に行われます。

↓test.py↓

import boto3

s3 = boto3.client('s3')
response = s3.list_buckets()

buckets = [bucket['Name'] for bucket in response['Buckets']]

print("Bucket List: %s" % buckets)

[user-name@ip-xxx-xxx-xxx-xxx ~]$ python test.py

Bucket List: ['bucket-1', 'bucket-2', 'bucket-3']

aws configure がすでに設定されていて権限が不足している場合

[user-name@ip-xxx-xxx-xxx-xxx ~]$ aws s3 ls

An error occurred (AccessDenied) when calling the ListBuckets operation: Access Denied

なので、まずはこれらを確認してみてください。
少なくともAmazonS3FullAccess でS3にアクセスする権限がないといったことはないと思います。

Comments

[退会済みユーザー]

ありがとうございます
原因が全く不明なのですが連休あけたら実行できるようになってました
Role, Policy, EC2 へのアタッチ何かの反映に時間がかかるということなんでしょうか…

今後同様の問題が起きたら試してみたいと思います
丁寧にありがとうございました

[michi_h]

あ、はい。
ロールのアタッチがインスタンスに反映されるのは時間かかります。
再起動したらすぐ反映されます。

[退会済みユーザー]

そうだったのですね
お手数おかけしました
ありがとうございます