Amazon S3 IAM策略是否可同步到FSx for Lustre文件系统及权限管控方法

1. S3 IAM 策略是否会同步生效于关联的FSx for Lustre？ #

不会。
FSx for Lustre 关联S3存储桶时，会使用自身的服务关联角色完成S3侧的资源访问，而非继承访问FSx的用户、EC2实例的IAM身份权限。你在S3侧配置的针对其他主体的IAM权限规则，不会对FSx文件系统的本地访问产生任何约束，FSx挂载到EC2后默认作为独立的POSIX文件系统运行，权限体系和S3完全隔离。

2. 管控EC2实例对FSx文件系统的访问权限 #

你可以从两个层级实现权限划分：

• 实例挂载权限管控
  • 配置FSx所属安全组的入站规则，仅开放988端口（Lustre服务默认端口）给授权EC2实例所属的安全组，禁止未授权实例发起挂载请求。
  • 配置IAM策略限制仅指定身份可调用FSx的挂载相关API，从资源访问层面拦截未授权的挂载操作。
• 文件系统内部细粒度权限管控
  FSx for Lustre 兼容标准POSIX权限模型，你可以直接用常规Linux权限体系实现管控：
  • 基于UID/GID配置文件/目录的读、写、执行权限位，实现不同用户、用户组的权限隔离。
  • 开启FSx的POSIX ACL支持后，可通过setfacl命令配置更灵活的细粒度权限，比如给特定用户开放只读权限、禁止写入，满足列举、读取、写入的差异化权限要求。

3. 管控FSx修改同步回S3的权限 #

FSx同步内容回S3分为两种触发模式，对应不同的管控方式：

• 自动导出场景：如果你开启了FSx的自动导出功能，所有FSx上的修改会自动同步回S3。这种场景下你只要通过上文提到的POSIX权限管控用户对FSx的写入权限即可，没有写入权限的用户无法修改FSx内容，自然不会产生同步到S3的变更。不需要自动同步时直接关闭自动导出功能即可。
• 手动导出场景：即通过调用CreateDataRepositoryTaskAPI手动触发同步任务。这种场景下你可以配置IAM策略，仅给指定IAM身份开放fsx:CreateDataRepositoryTask的调用权限，未授权的主体无法发起手动同步任务。
  如果需要S3侧兜底校验，你可以给FSx的服务关联角色配置S3权限边界，限制角色对S3的写入范围，避免不符合预期的内容同步到S3。

内容的提问来源于stack exchange，提问作者Prashansa Gupta