即使IAM策略授予访问权限，Web应用程序也无法访问私有s3文件

Question

我使用CarrierWaveDirect将高分辨率图像上传到s3。然后，我使用该图像处理通过Cloudfront URL公开的多个版本。

上传的高分辨率文件需要对匿名用户保持私有，但web应用程序需要访问私有文件才能对其他版本进行处理。

我目前正在通过将所有上传的文件设置为CarrierWave初始值设定项中的private

config.fog_public=假

我有一个允许完全管理员访问的web应用程序IAM策略。我还为该IAM用户在应用程序中设置了ACCESSKEY和SECRETKEY。考虑到这两个标准，我认为web应用程序可以访问私有文件并继续处理，但它被拒绝访问私有文件。

*当我登录到与Web应用程序关联的用户帐户时，我能够访问私有文件，因为在URL上添加了令牌。

我不明白为什么应用程序在给定ACCESSKEY和SECRRETKEY的情况下无法访问私有文件

Answer 1

我很难解决你的问题。我很肯定你的问题不是

即使IAM策略授予访问权限，也无法访问私有s3文件

而是

如何手工创建一个预先签名的URL，以便在S3上获取私有文件

要点显示您正在尝试为GET yourself创建预先签名的URL。虽然这很好，但也很容易出错。

请验证您尝试使用AWS SDK for Ruby进行的工作是否正常（我在这里只发布已知可用于版本1的代码，但如果您没有受到遗留代码的阻碍，请从版本2开始）：

s3 = AWS::S3.new
bucket = s3.buckets["your-bucket-name"]
obj = bucket.objects["your-object-path"]
obj.url_for(:read, expires: 10*60) # generate a URL that expires in 10 minutes

有关详细信息，请参见AWS:：S3:：S3Object#url和AWS:：S3:：Object#presigned#url的文档。

您可能需要仔细阅读将参数传递到AWS:：S3.new此处（用于凭证、区域等）。

我建议你采取以下步骤：

1. 使用access_key_id和secret_access_key
2. 让它在你的工人中工作
3. 如果有效，您可以将SDK返回的查询字符串与您自己手工制作的查询字符串进行比较。也许你可以发现一个错误。

但在任何情况下，我建议您使用更高级别的SDK来为您做类似的事情。

如果这一点对你没有任何帮助，请发表评论，说明你的新发现。