上传 S3 对象时访问被拒绝

Question

我正在关注 this 从 S3 添加/列出对象的教程。

起初，由于Access Denied错误，我无法列出对象，所以我发现我必须为cognito创建的角色添加额外的权限s3:ListBucket和资源arn:aws:s3:::my-bucket给unauth用户：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::my-bucket",
                "arn:aws:s3:::my-bucket/*"
            ]
        }
    ]
}

现在，当我尝试上传文件时，我收到了另一个 Access Denied。

是我做错了什么还是本教程有很多错误？

附加检查：

• 存储桶有 CORS
• 创建bucket后我没有更改任何权限（一切默认）
• 我正在使用正确的 Cognito 身份池 ID（我可以列出 albmus）
• 我可以删除相册
• Access Denied 错误后我可以看到 cognito unauth 中有新身份，因此脚本可以正常工作。
• 存储桶的所有者（我）拥有存储桶的读/写权限

Answer 1

使用策略添加 IAM 角色，这将使用户能够使用 API 或通过控制台上传任何文件。

{
    "Version": "2012-10-17",
    "Id": "1",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::777777:user/myuser"
                 ]
            },
            "Action": [
                "s3:ListBucket",
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:GetObjectAcl"
            ],
            "Resource": [
                "arn:aws:s3:::bucketname/*",
                "arn:aws:s3::: bucketname"
            ]
        }
}

Answer 2

我不确定 cognito 在内部是如何工作的，它可能正在使用 s3 对象的 ACL。因此，添加 s3:PutObjectAcl 和 s3:GetObjectAcl 操作访问权限可能会有所帮助。此外，如果您的代码正在对 S3 进行分段上传，则应考虑添加 s3:ListBucketMultipartUploads 操作访问权限。 s3:PutObject 操作已经添加了Initiate Multipart Upload、Upload Part、Complete Multipart Upload的权限。