手动测试Lambda功能时AWS S3存储桶策略不起作用

Question

我有一个AWS Lambda函数，它通过S3资源的URL（即https://s3-eu-west-1.amazonaws.com/bucketname/key).

我在S3 Bucket上添加了一个Bucket策略，允许我的Lambda函数访问S3 Bucket（通过Lambda函数IAM角色）。此桶策略如下所示：


{
    "Version": "2012-10-17",
    "Id": "Access control to S3 bucket",
    "Statement": [
        {
            "Sid": "Allow Get and List Requests from IAM Role",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123412341234:role/role-name“
            },
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::bucket-name”,
                "arn:aws:s3:::bucket-name/*"
            ]
        }
    ]
}

当Lambda函数被触发器“自动”激活时，这一切都很好。但是当我手动（通过AWS控制台）测试Lambda函数时，我得到一个403错误。

如果我将S3桶策略中的主体更改为"*"，则解决403异常。

我的猜测是手动触发Lambda函数时使用了不同的主体，但我不知道这可能是什么。我尝试添加一个新的策略，让我的规范用户访问，但这不起作用。

有什么建议吗？

Answer 1

按照@JohnRotenstein的建议，我删除了bucket策略，而是实现了一个预签名的URL。现在一切正常。

在节点中生成预签名URL的示例。js（URL有效期为360秒）：

s3.getSignedUrl('getObject', {Bucket: bucket, Key: filename, Expires: 360})

Java语言（有效期为1小时）：

private URL createSignedURL(String s3Bucket, String s3Key){

    AmazonS3 s3client = AmazonS3ClientBuilder.defaultClient();

    // Set expiration to 1 hour
    java.util.Date expiration = new java.util.Date();
    long msec = expiration.getTime();
    msec += 1000 * 60 * 60; 
    expiration.setTime(msec);

    // Generate signed key
    GeneratePresignedUrlRequest generatePresignedUrlRequest = 
                  new GeneratePresignedUrlRequest(s3Bucket, s3Key);

    generatePresignedUrlRequest.setMethod(HttpMethod.GET); 
    generatePresignedUrlRequest.setExpiration(expiration);

    // Return key
    return s3client.generatePresignedUrl(generatePresignedUrlRequest); 
}

Answer 2

如果您希望向特定的IAM用户/组/角色授予权限，那么您应该直接在该用户/组/角色上添加权限，而不是将其作为特殊情况添加到桶策略中。

这可以使您的bucket策略保持干净，减少特殊情况。

我建议：

• 删除已显示的bucket策略
• 向Lambda函数使用的IAM角色添加一个内嵌策略（针对一次性情况）

以下是一个示例策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "BucketAccess",
            "Effect": "Allow",
            "Action": [
                "s3:*"
            ],
            "Resource": [
                "arn:aws:s3:::my-bucket",
                "arn:aws:s3:::my-bucket/*"
            ]
        }
    ]
}

实际上，这是过于允许的，因为它将允许Lambda函数在桶中做任何事情（例如删除桶），所以您应该只授予您知道Lambda函数需要的权限。

Answer 3

我遇到了类似的问题，问题是我的策略没有考虑Lambda在执行时承担角色这一事实。我将假定的角色添加到主体部分，一切都开始工作：

        "Principal": {
            "AWS": [
                "arn:aws:sts::123412341234:assumed-role/role-name/function-name"
            ]
        },