如何正确设置S3和IAM以将文件上传到S3存储桶？

Question

我想使用S3托管通过Kotlin Spring Boot应用程序上载的文件。我按照说明使用了各种其他文档，并尝试了一些解决stackoverflow上类似问题的方法。我总是收到403错误。如何设置S3和IAM以便上载文件？我如何找出问题所在？任何帮助都将不胜感激。

我已经激活了访问日志记录，这需要很长时间，而且还没有对我有太大帮助，特别是因为生成日志需要45分钟。忽略状态为200的响应，日志中会出现以下消息（桶代表我的桶的名称）：

• 获取/桶？加密=HTTP/1.1“404服务器端加密配置NotFoundError

我通过

AmazonS3ClientBuilder.defaultClient()

我检查了实现，它从我设置的环境变量中检索凭据。

要提交文件，我在S3Service实现中使用以下方法：

private fun uploadFileToBucket(fileName: String, file: File) {
    s3client.putObject(
            PutObjectRequest(bucketName, fileName, file)
                    .withCannedAcl(CannedAccessControlList.PublicRead)
    )
}

这是我对IAM用户的策略（用户从组继承策略）：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
            "s3:PutAccountPublicAccessBlock",
            "s3:GetAccountPublicAccessBlock",
            "s3:ListAllMyBuckets",
            "s3:HeadBucket"
        ],
        "Resource": "*"
    },
    {
        "Sid": "VisualEditor1",
        "Effect": "Allow",
        "Action": "s3:*",
        "Resource": [
            "arn:aws:s3:::bucket",
            "arn:aws:s3:::bucket/*"
        ]
    }
]

}

这就是bucket策略：

{
    "Version": "2012-10-17",
    "Id": "PolicyId",
    "Statement": [
        {
            "Sid": "StmtId",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account:user/username"
            },
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::bucket"
        }
    ]
}

最后，我希望能够将文件放入存储桶并提供对这些文件的公共访问。例如，我想从Angular应用程序上传图像，通过我的Spring Boot应用程序上传它们并将它们显示在Angular应用程序上。现在我甚至无法通过Postman上传它们而不会出现403错误。

Answer 1

正如Mark B所指出的，IAM策略可以缩短，并且存储桶策略无论如何都不需要。但是，上传文件适用于这些设置和修改后的设置。我的代码和S3配置中的问题是我试图修改ACL而不允许它在我的存储桶中。正如我在下面的屏幕截图中标记的那样，必须禁用阻止新的公共ACL，否则服务器根据定义以403响应。

Answer 2

IAM政策可以缩短为：

{
 "Version": "2012-10-17",
 "Statement": [
    {
        "Sid": "VisualEditor1",
        "Effect": "Allow",
        "Action": "s3:*",
        "Resource": [
            "arn:aws:s3:::bucket",
            "arn:aws:s3:::bucket/*"
        ]
    }
 ]
}

换句话说，第二条语句提供了完全的S3访问权限，因此IAM策略中的第一条语句毫无意义。

您的桶策略可能有问题。很难说，因为我认为您已经用占位符替换了几个值。但是，在这种情况下，您根本不需要桶策略。我会删除它。