AWS Lambda 返回权限被拒绝尝试从 S3 存储桶获取对象

Question

我确实创建了一个 lambda 函数，该函数应该在将文件上传到 S3 存储桶中时将数据上传到 DynamoDB。但是，当文件上传到存储桶中时，我在 CloudWatch 中收到“GetObject 操作：权限被拒绝”。 lambda 函数附加了一个 IAM 角色，以及这些策略：AmazonlambdaFullAccess、AmazonS3FullAccess、AmazonCloudWatchLogsFullAccess、AmazonDynamoDBFullAccess。它有 lambda.amazonaws.com 作为受信任的实体。 该存储桶没有附加任何策略。

 import boto3
 import json
 import urllib

 dynamodb = boto3.resource('dynamodb')
 table = dynamodb.Table('wireshark')
 s3 = boto3.client('s3')
 tests3 = boto3.resource(u's3')

 def lambda_handler(event, context):

     source_bucket = event['Records'][0]['s3']['bucket']['name']
     key = urllib.parse.quote_plus(event['Records'][0]['s3']['object']['key'])
    copy_source = {'Bucket':source_bucket , 'Key':key}
    print(event)
    print("Log stream name : ", context.log_stream_name)
    print("Log group name : ", context.log_group_name)
    print("Request Id:", context.aws_request_id)
    print("Mem. limit(MB): ", context.memory_limit_in_mb)

    #just print function
    print("Log stream name : ", context.log_stream_name)
    print("Log group name : ", context.log_group_name)
    print("Request Id:", context.aws_request_id)
    print("Mem. limit(MB): ", context.memory_limit_in_mb)

    try:
        print("Using waiter to waiting for object to persist thru s3 service")
        waiter = s3.get_waiter('object_exists')
        waiter.wait(Bucket=source_bucket, Key=key)
        print("Accessing the receied file and reading the same")
        bucket = tests3.Bucket(u'awslambdas3test2')
        obj = bucket.Object(key=key)
        response = obj.get()
        print("response from file object")
        print(response)

在 Cloudwatch 中：调用 GetObject 操作时发生错误 (AccessDenied)：访问被拒绝。 我已经通过 aws 的“策略模拟器”。此 IAM 角色应该能够从任何 S3 存储桶获取对象。 感谢您的帮助。

代码大多来自GitHub。

Answer 1

这是一个将打印文件内容的 AWS Lambda 函数：

import boto3
import os

def lambda_handler(event, context):

    s3_client = boto3.client('s3')

    # For each record

    for record in event['Records']:

        # Get Bucket and Key
        bucket = record['s3']['bucket']['name']
        key    = record['s3']['object']['key']

        # Print the bucket & key to the logs
        print(bucket, key)

        # Download object
        local_filename = '/tmp/' + key
        s3_client.download_file(bucket, key, local_filename)

        # Print contents to log (just to demonstrate concept)
        for line in open(local_filename):
            print(line)

        # Delete file when done, to clear space for future execution
        os.remove(local_filename)

在存储桶上创建一个 Amazon S3 事件以触发此 Lambda 函数，它将文件名和文件内容打印到 CloudWatch Logs。这应该是一个很好的测试，可以确定程序是使用您的代码还是使用权限。