การเข้าถึงถูกปฏิเสธเมื่อเรียกการดำเนินการ PutObject ด้วยการอนุญาตระดับที่เก็บข้อมูล

ฉันทำตามตัวอย่างในhttp://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_examples.html#iam-policy-example-s3สำหรับวิธีให้สิทธิ์ผู้ใช้เข้าถึงที่เก็บข้อมูลเดียว

จากนั้นฉันทดสอบการกำหนดค่าโดยใช้ปลั๊กอิน W3 Total Cache Wordpress การทดสอบล้มเหลว

ฉันยังลองจำลองปัญหาโดยใช้ไฟล์

aws s3 cp --acl=public-read --cache-control='max-age=604800, public' ./test.txt s3://my-bucket/

และล้มเหลวด้วย

upload failed: ./test.txt to s3://my-bucket/test.txt A client error (AccessDenied) occurred when calling the PutObject operation: Access Denied

ทำไมฉันไม่สามารถอัปโหลดไปยังที่เก็บข้อมูลของฉันได้

เพื่อตอบคำถามของตัวเอง:

นโยบายตัวอย่างให้สิทธิ์การเข้าถึง PutObject แต่ฉันต้องให้สิทธิ์การเข้าถึง PutObjectAcl ด้วย

ฉันต้องเปลี่ยน

"s3:PutObject",
"s3:GetObject",
"s3:DeleteObject"

จากตัวอย่างเป็น:

"s3:PutObject",
"s3:PutObjectAcl",
"s3:GetObject",
"s3:GetObjectAcl",
"s3:DeleteObject"

นอกจากนี้คุณต้องตรวจสอบให้แน่ใจว่าที่เก็บข้อมูลของคุณได้รับการกำหนดค่าสำหรับไคลเอ็นต์เพื่อตั้งค่า ACL แบบสาธารณะโดยการยกเลิกการเลือกสองช่องนี้:

ฉันมีปัญหาที่คล้ายกัน ฉันไม่ได้ใช้สิ่งที่ ACL s3:PutObjectAclดังนั้นฉันไม่จำเป็นต้อง

ในกรณีของฉันฉันกำลังทำ (ในServerless Framework YML):

- Effect: Allow
  Action:
    - s3:PutObject
  Resource: "arn:aws:s3:::MyBucketName"

แทน:

- Effect: Allow
  Action:
    - s3:PutObject
  Resource: "arn:aws:s3:::MyBucketName/*"

ซึ่งจะเพิ่ม/*จุดสิ้นสุดของที่เก็บข้อมูล ARN

หวังว่านี่จะช่วยได้

ฉันแค่เอาหัวโขกกำแพงแค่พยายามอัปโหลด S3 ให้ทำงานกับไฟล์ขนาดใหญ่ เริ่มแรกข้อผิดพลาดของฉันคือ:

An error occurred (AccessDenied) when calling the CreateMultipartUpload operation: Access Denied

จากนั้นฉันลองคัดลอกไฟล์ที่เล็กกว่าและได้รับ:

An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

ฉันสามารถแสดงรายการวัตถุได้ดี แต่ฉันไม่สามารถทำอย่างอื่นได้แม้ว่าฉันจะมีs3:*สิทธิ์ในนโยบายบทบาทของฉัน ฉันลงเอยด้วยการแก้ไขนโยบายนี้ใหม่:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::my-bucket/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucketMultipartUploads",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts"
            ],
            "Resource": [
                "arn:aws:s3:::my-bucket",
                "arn:aws:s3:::my-bucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "*"
        }
    ]
}

ตอนนี้ฉันสามารถอัปโหลดไฟล์ใดก็ได้ แทนที่my-bucketด้วยชื่อที่เก็บข้อมูลของคุณ ฉันหวังว่านี่จะช่วยคนอื่นที่กำลังจะผ่านไป

ในกรณีนี้ให้ความช่วยเหลือคนอื่นในกรณีของฉันฉันใช้ CMK (ใช้งานได้ดีโดยใช้คีย์ aws / s3 เริ่มต้น)

ฉันต้องเข้าไปในนิยามคีย์การเข้ารหัสของฉันใน IAM และเพิ่มผู้ใช้แบบเป็นโปรแกรมที่ล็อกอินเข้าสู่ boto3 ในรายชื่อผู้ใช้ที่ "สามารถใช้คีย์นี้เพื่อเข้ารหัสและถอดรหัสข้อมูลจากภายในแอปพลิเคชันและเมื่อใช้บริการ AWS ที่รวมกับ KMS"

ฉันมีปัญหาคล้ายกันในการอัปโหลดไปยังที่เก็บข้อมูล S3 ที่ป้องกันด้วยการเข้ารหัส KWS ฉันมีนโยบายขั้นต่ำที่อนุญาตให้เพิ่มวัตถุภายใต้คีย์ s3 เฉพาะ

ฉันต้องการเพิ่มสิทธิ์ KMS ต่อไปนี้ในนโยบายของฉันเพื่ออนุญาตให้บทบาทใส่ออบเจ็กต์ในที่เก็บข้อมูล (อาจมากกว่าที่กำหนดไว้เล็กน้อย)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "kms:ListKeys",
                "kms:GenerateRandom",
                "kms:ListAliases",
                "s3:PutAccountPublicAccessBlock",
                "s3:GetAccountPublicAccessBlock",
                "s3:ListAllMyBuckets",
                "s3:HeadBucket"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "kms:ImportKeyMaterial",
                "kms:ListKeyPolicies",
                "kms:ListRetirableGrants",
                "kms:GetKeyPolicy",
                "kms:GenerateDataKeyWithoutPlaintext",
                "kms:ListResourceTags",
                "kms:ReEncryptFrom",
                "kms:ListGrants",
                "kms:GetParametersForImport",
                "kms:TagResource",
                "kms:Encrypt",
                "kms:GetKeyRotationStatus",
                "kms:GenerateDataKey",
                "kms:ReEncryptTo",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:<MY-REGION>:<MY-ACCOUNT>:key/<MY-KEY-GUID>"
        },
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": [
            <The S3 actions>
            ],
            "Resource": [
                "arn:aws:s3:::<MY-BUCKET-NAME>",
                "arn:aws:s3:::<MY-BUCKET-NAME>/<MY-BUCKET-KEY>/*"
            ]
        }
    ]
}

ฉันมีข้อความแสดงข้อผิดพลาดเดียวกันกับความผิดพลาดที่ฉันทำ: ตรวจสอบให้แน่ใจว่าคุณใช้ s3 uri ที่ถูกต้องเช่น: s3://my-bucket-name/

(ถ้าชื่อถังของฉันอยู่ที่รูทของ aws s3 ของคุณอย่างชัดเจน)

ฉันยืนยันอย่างนั้นเพราะเมื่อคัดลอกวางถัง s3 จากเบราว์เซอร์ของคุณคุณจะได้รับสิ่งที่ต้องการ https://s3.console.aws.amazon.com/s3/buckets/my-bucket-name/?region=my-aws-regiontab=overview

ดังนั้นฉันจึงใช้ผิดพลาดs3://buckets/my-bucket-nameซึ่งทำให้เกิด:

An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

หากคุณตั้งค่าการเข้าถึงสาธารณะสำหรับที่เก็บข้อมูลและหากยังใช้งานไม่ได้ให้แก้ไขนโยบายบัคเกอร์และวางสิ่งต่อไปนี้:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::yourbucketnamehere",
                "arn:aws:s3:::yourbucketnamehere/*"
            ],
            "Effect": "Allow",
            "Principal": "*"
        }
    ]
}

คล้ายกับหนึ่งโพสต์ด้านบน (ยกเว้นว่าฉันใช้ข้อมูลรับรองของผู้ดูแลระบบ) เพื่อรับการอัปโหลด S3 เพื่อทำงานกับไฟล์ขนาดใหญ่ 50M

เริ่มแรกข้อผิดพลาดของฉันคือ:

An error occurred (AccessDenied) when calling the CreateMultipartUpload operation: Access Denied

ฉันเปลี่ยน multipart_threshold ให้อยู่เหนือ 50M

aws configure set default.s3.multipart_threshold 64MB

และฉันได้รับ:

An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

ฉันตรวจสอบการตั้งค่าการเข้าถึงสาธารณะที่เก็บข้อมูลแล้วและทุกอย่างได้รับอนุญาต ดังนั้นฉันพบว่าการเข้าถึงสาธารณะสามารถถูกบล็อกในระดับบัญชีสำหรับที่เก็บข้อมูล S3 ทั้งหมด :

สำหรับฉันฉันใช้คีย์การตรวจสอบสิทธิ์ที่หมดอายุ สร้างใหม่และบูม

หากคุณระบุคีย์ KMS ที่มีการจัดการของลูกค้าของคุณเองสำหรับการเข้ารหัส S3 คุณต้องระบุแฟล็ก--server-side-encryption aws:kmsด้วยเช่น:

aws s3api put-object --bucket bucket --key objectKey --body /path/to/file --server-side-encryption aws:kms

หากคุณไม่เพิ่มแฟ--server-side-encryption aws:kmsล็ก cli จะแสดงAccessDeniedข้อผิดพลาด

ฉันสามารถแก้ปัญหาได้โดยให้สิทธิ์ s3 เข้าถึง Lambda จากนโยบายโดยสมบูรณ์ สร้างบทบาทใหม่ให้กับ Lambda และแนบนโยบายพร้อม S3 Access ไปด้วย

หวังว่านี่จะช่วยได้

ฉันพบปัญหาเดียวกัน ที่เก็บข้อมูลของฉันเป็นแบบส่วนตัวและมีการเข้ารหัส KMS ฉันสามารถแก้ไขปัญหานี้ได้โดยใส่สิทธิ์ KMS เพิ่มเติมในบทบาท รายการต่อไปนี้เป็นชุดบทบาทขั้นต่ำที่จำเป็น

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Sid": "AllowAttachmentBucketWrite",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "kms:Decrypt",
            "s3:AbortMultipartUpload",
            "kms:Encrypt",
            "kms:GenerateDataKey"
        ],
        "Resource": [
            "arn:aws:s3:::bucket-name/*",
            "arn:aws:kms:kms-key-arn"
        ]
    }
  ]
}

อ้างอิง: https://aws.amazon.com/premiumsupport/knowledge-center/s3-large-file-encryption-kms-key/