S3从lambda生成的getObject预签名url不工作

Question

我有下面的lambda，它在将文件上传到bucket并将其预签名的URL发送到API时被触发。

import urllib3
import boto3
import json
import urllib

def lambda_handler(event, context):

    headers = {
        'Content-Type': "application/json",
        'Accept': "*/*", 'Accept-Encoding': "gzip,deflate,br",
        'Connection': "keep-alive"
    }

    http = urllib3.PoolManager()

    bucket = event['Records'][0]['s3']['bucket']['name']
    key = urllib.parse.unquote_plus(
        event['Records'][0]['s3']['object']['key'], encoding='utf-8')
        
    preSignedUrl = boto3.client('s3').generate_presigned_url(
        ClientMethod='get_object', Params={'Bucket': bucket, 'Key': key}, ExpiresIn=3600)

    params = {
        "url": preSignedUrl,
        "file_name": key.split("/")[-1]
    }
    
    print("Request params: ", params)

    url = "http://abcdefg.io/file"
    
    try:
        r = http.request("POST", url, body=json.dumps(params), headers={
                    'Content-Type': 'application/json'})
        print("Response: ", r.data)
    except Exception as e:
        print(e)  

这是生成预先签名的URL，但我无法使用它访问文件。当我在浏览器中键入URL时，我会得到以下信息：，

<Error>
   <Code>AccessDenied</Code>
   <Message>Access Denied</Message>
   <RequestId>ESAB5DBZCTGX1JEW</RequestId>
 <HostId>C/aB8l0LL3C3ifAzuvcWBz89mTV1MkYHsYGXvlzgLQvVnqEvrea+KCfIbBUUOBSgYJ+PX+2kyh8=</HostId>
</Error>

我尝试使用命令aws s3 presign从cloud shell生成URL

我补充说，

client = boto3.client("s3",region_name=<my-region>, aws_access_key_id=<my_access_key>, aws_secret_access_key=<my_secret_key>) 

并再次生成预签名的URL。新生成的URL也起到了作用。所以问题在于客户。如果没有特别提到钥匙，它就无法工作。我记得在lambda代码中生成预签名URL时没有指定密钥。那么，这里真正的问题是什么？




Answer 1

这个问题似乎很可能是由这里上下文中与lambda执行角色附加/关联的策略引起的。因此，对于解决方案，如果您在角色的权限中添加一个内联策略（如下所示），那么lambda应该能够生成工作的预签名URL。如果您使用AWS管理控制台，那么您可以通过lambda函数导航到lambda角色的权限-

内联策略：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket"
        ],
        "Resource": "*"
    }
]

}

从lambda（具有适当的权限）生成S3预签名URL的简单版本可能如下所示（在JavaScript中）：

var AWS = require('aws-sdk');
var s3 = new AWS.S3({
  signatureVersion: 'v4',
});


exports.handler = (event, context, callback) => {
  const url = s3.getSignedUrl('getObject', {
    Bucket: '<bucket name>',
    Key: '<path to object in bucket>',
    Expires: 1000,
  });


  callback(null, url);
};