亚马逊广告 API 不适用于 S3 的自定义 VPC 终端节点策略

Question

亚马逊广告 API 不适用于 S3 的自定义 VPC 终端节点策略。

我在两个 VPC 中有两个 S3 存储桶和两个 EC2 实例。创建 VPC 端点以访问 S3 存储桶。

我需要将桶 test1 从 EC2-1 连接到 VPC1 和桶 test2 从 EC2-2 连接到 EC2-2。需要阻止从EC2-1 到桶test2 和EC2-2 到桶test1 的访问。

这 2 个存储桶位于一个 AWS 账户下，并使用相同的 IAM 用户凭证来访问这些存储桶。

我在VPC1 中用于 S3 的 VPC 端点的策略：

{
    "Statement": [
        {
            "Sid": "Access-to-specific-bucket-only",
            "Principal": "*",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:PutObject"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::test1",
                "arn:aws:s3:::test1/*"
            ]
        }
    ]
}

此政策运行良好。但是，我需要从我的 EC2 实例访问亚马逊广告 API。现在，它给出了一个连接错误。当我提供我不想要的完全访问权限时，它会起作用。请帮我设置自定义政策。

注意：亚马逊广告 API URL 以 https://amazon-advertising-api-reports-prod-usamazon.s3.amazonaws.com 开头

Answer 1

这看起来像是一个您可以检索报告的网址，而不是广告 API 的实际网址。

您的 VPC Endpoint for S3 策略允许访问 test1 存储桶，但未授予对 amazon-advertising-api-reports-prod-usamazon 存储桶的访问权限。

如果您将其添加到您的策略中，它就可以访问报告。