无法下载 AWS CodeDeploy 代理安装文件答案

【问题标题】：Unable to download AWS CodeDeploy Agent Install file无法下载 AWS CodeDeploy 代理安装文件
【发布时间】：2015-01-17 21:27:26
【问题描述】：

我正在尝试在我的 Amazon Linux 中下载 AWS Codedeploy 代理文件。我按照http://docs.aws.amazon.com/codedeploy/latest/userguide/how-to-run-agent.html 中提到的说明为 Amazon Linux 创建了适当的实例配置文件、服务角色等。一切都是最新的（Amazon Linux、CLI 包，它是一个全新的实例，我已经尝试了至少 3 个以上具有相同结果的全新实例）。所有实例都有完整的出站互联网访问权限。

但以下从 S3 下载安装的语句总是失败，

aws s3 cp s3://aws-codedeploy-us-east-1/latest/install . --region us-east-1

有错误，调用 HeadObject 操作时发生客户端错误 (403)：禁止访问已完成 1 个部分，剩余 ... 文件

谁能帮我解决这个错误？

【问题讨论】：

标签： amazon-web-services amazon-s3 aws-code-deploy

【解决方案1】：

根据 IAM Instance profile 的 Codedeploy 文档，我发现了问题

http://docs.aws.amazon.com/codedeploy/latest/userguide/how-to-create-iam-instance-profile.html

需要为您的 IAM 实例配置文件授予以下权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "s3:Get*",
        "s3:List*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

但我将资源限制在我的代码存储桶中，因为我不希望我的实例直接访问其他存储桶。但事实证明，我还需要为 aws-codedeploy-us-east-1/* s3 资源提供额外权限，以便能够下载代理。这在为 Codedeploy 设置 IAM 实例配置文件的文档中不是很清楚。

【讨论】：

如果 CLI 用户凭据缺少必要的权限，您仍然会收到此错误。
将另一个托管策略附加到我用于代码部署的 IAM 用户更有意义 - 策略名称“AmazonS3ReadOnlyAccess”

【解决方案2】：

更有效的限制性政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::aws-codedeploy-us-east-1/*",
                "arn:aws:s3:::aws-codedeploy-us-west-1/*",
                "arn:aws:s3:::aws-codedeploy-us-west-2/*",
                "arn:aws:s3:::aws-codedeploy-ap-south-1/*",
                "arn:aws:s3:::aws-codedeploy-ap-northeast-2/*",
                "arn:aws:s3:::aws-codedeploy-ap-southeast-1/*",
                "arn:aws:s3:::aws-codedeploy-ap-southeast-2/*",
                "arn:aws:s3:::aws-codedeploy-ap-northeast-1/*",
                "arn:aws:s3:::aws-codedeploy-eu-central-1/*",
                "arn:aws:s3:::aws-codedeploy-eu-west-1/*",
                "arn:aws:s3:::aws-codedeploy-sa-east-1/*"
            ]
        }
    ]
}

【讨论】：