¿Cómo soluciono los errores de acceso denegado cuando uso un rol de IAM con restricción de IP para acceder a objetos S3 cifrados con SSE-KMS?

Resolución

El cifrado del lado del servidor con claves de AWS Key Management Service (AWS KMS) (SSE-KMS) utiliza sesiones de acceso directo (FAS) para realizar solicitudes de API de AWS KMS que las restricciones de direcciones IP pueden denegar involuntariamente. Cuando utilizas un rol de IAM con restricción de IP e intentas descargar un objeto de Amazon S3 cifrado con SSE-KMS, es posible que recibas el error «Access Denied».

Para modificar la política adjunta a tu usuario de IAM para incluir la condición aws:ViaAWSService, sigue estos pasos:

1. Abre la política actual para tu usuario de IAM que restringe las direcciones IP. Ejemplo de política restringida:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": "*",
         "Resource": "*",
         "Condition": {
           "NotIpAddress": {
             "aws:SourceIp": [
               "IP ADDRESS"
             ]
           }
         }
       }
     ]
   }

2. Modifica la política para incluir la condición aws:ViaAWSService. Ejemplo de política de usuario de IAM:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": "*",
         "Resource": "*",
         "Condition": {
           "NotIpAddress": {
             "aws:SourceIp": [
               "IP ADDRESS"
             ]
           },
           "Bool": {
             "aws:ViaAWSService": "false"
           }
         }
       }
     ]
   }

   Nota: La condición aws:ViaAWSService ahora permite a los servicios de AWS realizar llamadas a la API en tu nombre con restricciones de dirección IP.

Información relacionada

Operadores de condiciones de direcciones IP