使用IAM角色时AWS boto3 InvalidAccessKeyId无效

Question

我使用预先签名的post/url上传到S3并从S3下载。预签名的url/post是通过Lambda函数中的boto3生成的（它是通过zappa部署的）。

当我添加我的AWS\u SECRET\u ACCESS\u KEY和AWS\u ACCESS\u KEY\u ID作为env变量时，效果非常好。然后，我删除了我的凭据，并向lambda添加了一个IAM角色，以完全访问S3存储桶。之后，lambda返回带有预先签名的URL和getObject运行良好，但是当我想通过URL上传对象时，它返回一个InvalidAccessKeyId错误。使用的密钥idASIA…，这意味着这些是临时凭证。

看起来lambda没有使用IAM角色，或者有什么问题？

class S3Api:

    def __init__(self):
            self.s3 = boto3.client(
                's3',
                region_name='eu-central-1'
            )

    def generate_store_url(self, key):
        return self.s3.generate_presigned_post(FILE_BUCKET,
                                               key,
                                               Fields=None,
                                               Conditions=None,
                                               ExpiresIn=604800)

    def generate_get_url(self, key):
        return self.s3.generate_presigned_url('get_object',
                                              Params={'Bucket': FILE_BUCKET,
                                                      'Key': key},
                                              ExpiresIn=604800)

sts:getCallerIdentity的我的结果：

{
     'UserId': '...:dermus-api-dev',
     'Account': '....',
     'Arn': 'arn:aws:sts::....:assumed-role/dermus-api-dev-ZappaLambdaExecutionRole/dermus-api-dev',
    'ResponseMetadata': {
        'RequestId': 'a1bd7c31-0199-472e-bff7-b93a4f855450',
        'HTTPStatusCode': 200,
        'HTTPHeaders': {
            'x-amzn-requestid': 'a1bd7c31-0199-472e-bff7-b93a4f855450',
            'content-type': 'text/xml',
            'content-length': '474',
            'date': 'Tue, 09 Mar 2021 08:36:30 GMT'
        },
        'RetryAttempts': 0
    }
}

dermus api dev ZappaLambdaExecutionRole角色附加到dermus api dev lambda。

Answer 1

预先签名的URL和Lambda凭证以一种不明显的方式一起工作。

从文档中，强调我的：

>

任何具有有效安全凭据的人都可以创建预签名的URL。但是，为了成功访问对象，必须由有权执行预签名URL所基于的操作的人创建预签名URL。

可用于创建预签名URL的凭据包括：

>

AWS安全令牌服务：使用永久凭据（如AWS帐户根用户或IAM用户的凭据）签名时，最长有效期为36小时

IAM用户：使用AWS签名版本4时，有效期最长为7天

若要创建有效期最长为7天的预签名URL，请首先将IAM用户凭据（访问密钥和秘密访问密钥）指定到您正在使用的SDK。然后，使用AWS Signature Version 4生成预签名URL。

如果使用临时令牌创建了预签名URL，则该URL在令牌过期时过期，即使该URL是在较晚的过期时间创建的。

底线：如果您等待的时间太长，URL可能会过期，因为Lambda函数凭据已经过期。