S3 对象拒绝访问 - 这些对象来自另一个账户的 AWS CodeBuild 项目

Question

(+)
我刚刚在 petrch 的帮助下找到了一个类似的问题和答案（谢谢！）并尝试申请...
CodeBuild upload build artifact to S3 with ACL

---

我正在通过 accountA 的 CodeBuild 项目更新 accountB 的 S3 存储桶。
一个问题是，accountA 的 CodeBuild 中的所有对象都拒绝访问。

我的目的是使用这个 S3 存储桶进行静态托管。
我设置了静态托管的所有要求，当我手动上传简单的 index.html 时它工作正常。

但 accountA 的 CodeBuild 项目中的单个对象显示以下附加错误。
ex) index.html 属性和权限

我在 CodeBuild 项目的工件设置中检查了 Disable artifact encryption 选项。
以及覆盖参数， encryptionDisabled: true

当我将输出保存在同一个帐户 S3 中时，此代码构建项目工作正常。
（AccountA 中的 S3 静态托管站点运行良好）
但是在 accountB 的 S3 中出现访问问题。

在尝试接触 KMS 策略之前，我想知道我是否错过了 CodeBuild 中的一些配置。

请告诉我我必须做什么或错过了什么......

谢谢。

Answer 1

(+)
我刚刚在 petrch 的帮助下找到了一个类似的问题和答案（谢谢！）并尝试申请...
CodeBuild upload build artifact to S3 with ACL

---

使用 bucket-owner-full-control 预设 ACL 上传对象，否则对象仍将由源帐户“拥有”。 看： https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html

上面写着：

Amazon S3 访问控制列表 (ACL) 使您能够管理对存储桶和对象的访问。每个存储桶和 object 都有一个作为子资源附加到它的 ACL。它定义了哪些 AWS 账户或组被授予访问权限以及访问类型。当收到针对资源的请求时，Amazon S3 会检查相应的 ACL 以验证请求者是否具有必要的访问权限。 当您创建存储桶或对象时，Amazon S3 会创建一个默认 ACL，授予资源所有者对资源的完全控制权。这在以下示例存储桶 ACL 中显示（默认对象 ACL 具有相同的结构）

所以对象有源存储桶的ACL，不是很明显，但是你可以在源账户的PutObject动作期间提供一个ACL。所以它仍然可以只是一个电话。