Paket düzeyinde izinle PutObject işlemi çağrılırken Erişim Engellendi

Bir kullanıcıya yalnızca bir gruba nasıl erişim izni verileceğini öğrenmek için http://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_examples.html#iam-policy-example-s3 üzerindeki örneği takip ettim .

Daha sonra yapılandırmayı W3 Total Cache Wordpress eklentisini kullanarak test ettim. Test başarısız oldu.

Ayrıca sorunu yeniden oluşturmayı denedim.

aws s3 cp --acl=public-read --cache-control='max-age=604800, public' ./test.txt s3://my-bucket/

ve bu başarısız oldu

upload failed: ./test.txt to s3://my-bucket/test.txt A client error (AccessDenied) occurred when calling the PutObject operation: Access Denied

Neden paketime yükleyemiyorum?

Kendi sorumu cevaplamak için:

Örnek politika PutObject erişimi sağladı, ancak ayrıca PutObjectAcl erişimi de vermem gerekiyordu.

Değiştirmek zorunda kaldım

"s3:PutObject",
"s3:GetObject",
"s3:DeleteObject"

örnekten:

"s3:PutObject",
"s3:PutObjectAcl",
"s3:GetObject",
"s3:GetObjectAcl",
"s3:DeleteObject"

Ayrıca, şu iki kutunun işaretini kaldırarak paketinizin istemciler için genel erişimli bir EKL ayarlayacak şekilde yapılandırıldığından emin olmanız gerekir:

Ben de benzer bir sorun yaşıyordum. ACL şeylerini kullanmıyordum, bu yüzden ihtiyacım yoktu s3:PutObjectAcl.

Benim durumumda yapıyordum ( Sunucusuz Çerçeve YML'de):

- Effect: Allow
  Action:
    - s3:PutObject
  Resource: "arn:aws:s3:::MyBucketName"

Onun yerine:

- Effect: Allow
  Action:
    - s3:PutObject
  Resource: "arn:aws:s3:::MyBucketName/*"

Bu /*, ARN paketinin sonuna bir ekler .

Bu yardımcı olur umarım.

Sadece S3 yüklemelerinin büyük dosyalarla çalışmasını sağlamaya çalışıyordum. Başlangıçta benim hatam şuydu:

An error occurred (AccessDenied) when calling the CreateMultipartUpload operation: Access Denied

Sonra daha küçük bir dosya kopyalamayı denedim ve şunu elde ettim:

An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

Nesneleri iyi listeleyebiliyordum ama s3:*Rol politikamda izinlerim olmasına rağmen başka bir şey yapamadım . Politikayı şu şekilde yeniden çalıştım:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::my-bucket/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucketMultipartUploads",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts"
            ],
            "Resource": [
                "arn:aws:s3:::my-bucket",
                "arn:aws:s3:::my-bucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "*"
        }
    ]
}

Artık herhangi bir dosyayı yükleyebiliyorum. Paket my-bucketadınızla değiştirin . Umarım bu, bundan başka birine yardım eder.

Bu başka birine yardımcı olursa, benim durumumda bir CMK kullanıyordum (varsayılan aws / s3 anahtarını kullanarak iyi çalıştı)

IAM'deki şifreleme anahtarı tanımıma girmem ve boto3'te oturum açmış programatik kullanıcıyı, "bu anahtarı uygulamalar içinden ve KMS ile entegre AWS hizmetlerini kullanırken verileri şifrelemek ve şifresini çözmek için kullanabilen" kullanıcılar listesine eklemem gerekiyordu.

KWS şifrelemesiyle korunan bir S3 kovasına yükleme yaparken benzer bir sorunla karşılaştım. Belirli bir s3 anahtarı altında nesnelerin eklenmesine izin veren minimal bir politikam var.

Rolün pakete nesne koymasına izin vermek için politikama aşağıdaki KMS izinlerini eklemem gerekiyordu. (Kesinlikle gerekenden biraz daha fazla olabilir)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "kms:ListKeys",
                "kms:GenerateRandom",
                "kms:ListAliases",
                "s3:PutAccountPublicAccessBlock",
                "s3:GetAccountPublicAccessBlock",
                "s3:ListAllMyBuckets",
                "s3:HeadBucket"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "kms:ImportKeyMaterial",
                "kms:ListKeyPolicies",
                "kms:ListRetirableGrants",
                "kms:GetKeyPolicy",
                "kms:GenerateDataKeyWithoutPlaintext",
                "kms:ListResourceTags",
                "kms:ReEncryptFrom",
                "kms:ListGrants",
                "kms:GetParametersForImport",
                "kms:TagResource",
                "kms:Encrypt",
                "kms:GetKeyRotationStatus",
                "kms:GenerateDataKey",
                "kms:ReEncryptTo",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:<MY-REGION>:<MY-ACCOUNT>:key/<MY-KEY-GUID>"
        },
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": [
            <The S3 actions>
            ],
            "Resource": [
                "arn:aws:s3:::<MY-BUCKET-NAME>",
                "arn:aws:s3:::<MY-BUCKET-NAME>/<MY-BUCKET-KEY>/*"
            ]
        }
    ]
}

Yaptığım bir hata için aynı hata mesajını alıyordum: Aşağıdaki gibi doğru bir s3 uri kullandığınızdan emin olun: s3://my-bucket-name/

(Eğer my-kova-adı, aws s3'ünüzün kökünde açıkça görülüyorsa)

Bunda ısrar ediyorum çünkü s3 paketini tarayıcınızdan kopyalayıp yapıştırırken şöyle bir şey elde edersiniz: https://s3.console.aws.amazon.com/s3/buckets/my-bucket-name/?region=my-aws-regiontab=overview

Bu nedenle, s3://buckets/my-bucket-nameaşağıdakileri artıran kullanma hatasını yaptım :

An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

Paket için genel erişimi ayarladıysanız ve hala çalışmıyorsa, bucker politikasını düzenleyin ve aşağıdakileri yapıştırın:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::yourbucketnamehere",
                "arn:aws:s3:::yourbucketnamehere/*"
            ],
            "Effect": "Allow",
            "Principal": "*"
        }
    ]
}

Yukarıdaki bir gönderiye benzer şekilde (yönetici kimlik bilgilerini kullanmam dışında) S3 yüklemelerinin 50M'lik büyük bir dosyayla çalışmasını sağlamak için.

Başlangıçta benim hatam şuydu:

An error occurred (AccessDenied) when calling the CreateMultipartUpload operation: Access Denied

Multipart_threshold değerini 50M'nin üzerinde olacak şekilde değiştirdim

aws configure set default.s3.multipart_threshold 64MB

ve bende:

An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

Paket genel erişim ayarlarını kontrol ettim ve hepsine izin verildi. Bu nedenle , tüm S3 paketleri için hesap düzeyinde genel erişimin engellenebileceğini öğrendim :

Benim için süresi dolmuş kimlik doğrulama anahtarları kullanıyordum. Yenilerini üretti ve patlama.

S3 şifrelemesi için kendi müşteri tarafından yönetilen KMS anahtarınızı belirlediyseniz, aynı zamanda bayrağı da sağlamanız gerekir --server-side-encryption aws:kms, örneğin:

aws s3api put-object --bucket bucket --key objectKey --body /path/to/file --server-side-encryption aws:kms

Bayrağı eklemezseniz --server-side-encryption aws:kms, cli bir AccessDeniedhata görüntüler

Politikalardan Lambda'ya tam s3 erişimi vererek sorunu çözebildim. Lambda için yeni bir rol yapın ve politikayı ona tam S3 Erişimi ile ekleyin.

Umarım bu yardımcı olur.

Ben de aynı sorunla karşılaştım. Paketim özeldi ve KMS şifrelemesine sahipti. Role ek KMS izinleri ekleyerek bu sorunu çözebildim. Aşağıdaki liste, gereken minimum rol setidir.

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Sid": "AllowAttachmentBucketWrite",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "kms:Decrypt",
            "s3:AbortMultipartUpload",
            "kms:Encrypt",
            "kms:GenerateDataKey"
        ],
        "Resource": [
            "arn:aws:s3:::bucket-name/*",
            "arn:aws:kms:kms-key-arn"
        ]
    }
  ]
}

Referans: https://aws.amazon.com/premiumsupport/knowledge-center/s3-large-file-encryption-kms-key/