其他人在我的 AWS S3 存储桶中创建的对象的访问权限被拒绝

Question

我们有一个将文件写入 Amazon S3 存储桶的应用程序。我无法将文件下载或复制到不同的存储桶。我收到access denied 错误。文件的所有者是其他人，但存储桶归我们所有。该人不可访问，也不存在于组织中。如何访问文件并更改访问权限或更改文件的所有者？

我尝试将对象从源存储桶复制到目标存储桶，但 Error 403。

这是存储桶策略：

{
    "Version": "2012-10-17",
    "Id": "abcd",
    "Statement": [
        {
            "Sid": "abcd",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::123456789012:user/xxx"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:GetBucketLocation",
                "s3:ListBucket",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": [
                "arn:aws:s3:::xyz/*",
                "arn:aws:s3:::xyz"
            ]
        }
    ]
} 

预期：我想将这些文件移动到不同的存储桶或下载这些文件。它给出了错误Access denied 403。

Answer 1

文件的上传者需要grant full control over the objects给桶的拥有者。

您如何执行此操作取决于您用于上传文件的工具或 SDK。例如，如果您使用的是awscli，那么您可以将--acl bucket-owner-full-control 附加到aws s3 cp 命令中。

作为 S3 存储桶所有者，您可以通过指定适当的 S3 存储桶策略require uploaders to give you full control。

请注意，授予存储桶所有者完全控制权并不会使存储桶所有者成为对象的所有者。它们仍归上传者所有。但是，如果存储桶拥有者拥有完全控制权并想要拥有所有权，那么存储桶拥有者可以简单地将每个文件复制到自身之上，这将转移所有权。