带有AdministratorAccess的AWS Lambda在保存到具有ACL“public read”的s3时抛出“访问被拒绝”

Question

我下面的AWS演练设置AWS Lambda生成缩略图从一个S3桶：当一个源桶收到一个新对象，它调用一个lambda转换该对象，并将其缩略图保存到一个目标桶。一切都与默认代码片段一起工作，其中没有为对象指定ACL，在这种情况下，S3会自动将其设置为Private。但是，当我修改代码并将对象的ACL设置为公共读取时，Lambda无法将对象保存到目标桶中，并抛出一个访问拒绝错误。

s3.putObject({
    Bucket: dstBucket,
    Key: dstKey,
    Body: data,
    ContentType: 'image/jpeg',
    ACL: 'public-read',
    StorageClass: style.storageClass})

在本教程之后，我通过IAMadminuser向lambda添加了以下访问策略：

aws lambda add-permission \
--function-name CreateThumbnail \
--region eu-west-1 \
--statement-id some-unique-id \
--action "lambda:InvokeFunction" \
--principal s3.amazonaws.com \
--source-arn arn:aws:s3:::sourcebucket \
--source-account bucket-owner-account-id \
--profile adminuser

adminuser是组的一部分，该组具有AdministratorAccess，允许对所有资源执行所有操作：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
    }
  ]
}

所以我真的不知道为什么Lambda没有保存“公共读取”对象的权限。

遵循本教程，Lambda还具有一个AWSLambdaExecute角色，该角色赋予其在桶上执行所有必要操作的权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:*"
      ],
      "Resource": "arn:aws:logs:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject"
      ],
      "Resource": "arn:aws:s3:::*"
    }
  ]
}

虽然我可以在桶级别的所有资源上设置“公共读取”策略，但我希望在目标桶中保留一些对象的私有性。

Answer 1

看起来像AWSLambdaExecute角色策略，教程建议附加到Lambda缺少指定对象ACL的权限。为了解决这个问题，我附加了一个额外的内联策略，它授予lambda对"s3： PutObjectAcl"操作的权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:::*"
        }
    ]
}

要避免lambda有两个策略，只需指定一个自定义策略，如下所示：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:PutObjectAcl"
      ],
      "Resource": "arn:aws:s3:::*"
    }
  ]
}

多亏了这个答案。