EC2实例访问特定S3桶的IAM角色最佳实践咨询

安全阿岳

2026-7-27

针对EC2实例访问特定S3桶的IAM权限方案建议

关于单独创建IAM角色的方案

单独为每个EC2实例创建专属IAM角色是可行且符合最小权限原则的合理做法。你可以给每个角色仅附加对应S3桶的必要访问策略（比如只允许s3:GetObject、s3:PutObject这类实际需要的操作，而非全量S3权限），再加上EC2InstanceConnect这类标准管理策略，能精准控制权限，彻底避免过度授权的风险。

更优的优化方案

如果你的EC2实例数量较多，逐个创建角色会增加管理成本，可以考虑以下两种方案：

基于标签的通用IAM角色
给EC2实例和对应的S3桶添加规则统一的标签，比如给Instance-1加BucketAccess: bucket-1标签，给bucket-1加InstanceAccess: instance-1标签。然后创建一个通用IAM角色，在其S3权限策略中通过标签条件实现权限匹配：
```
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": ["arn:aws:s3:::*/*"],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/InstanceAccess": "${aws:PrincipalTag/BucketAccess}"
        }
      }
    }
  ]
}
```
所有符合标签规则的EC2实例都能复用这个角色，自动获得对应S3桶的访问权限，大幅减少角色数量，降低管理复杂度。
使用IAM权限边界
先创建一个基础角色，附加EC2InstanceConnect等通用管理策略。随后给每个实例对应的角色设置权限边界，明确限定它仅能访问特定S3桶。权限边界是一层额外的权限兜底机制，即使后续误添加了其他宽泛策略，也不会突破预设的权限范围。