我得到:
在调用ListObjects操作时发生错误(AccessDenied): AccessDenied
当我试图从S3存储桶中获取文件夹时。
使用该命令:
aws s3 cp s3://bucket-name/data/all-data/ . --recursive
桶的IAM权限如下所示:
{
"Version": "version_id",
"Statement": [
{
"Sid": "some_id",
"Effect": "Allow",
"Action": [
"s3:*"
],
"Resource": [
"arn:aws:s3:::bucketname/*"
]
}
] }
我需要改变什么才能成功复制和ls ?
当前回答
如果需要复制所有s3桶对象，请使用“aws s3 cp s3://bucket-name/data/all-data/”命令。正如你提到的，这里有一个安全且最小的策略来做到这一点:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:ListBucket"
],
"Resource": [
"arn:aws:s3:::bucket-name"
],
"Condition": {
"StringLike": {
"s3:prefix": "data/all-data/*"
}
}
},
{
"Effect": "Allow",
"Action": [
"s3:GetObject"
],
"Resource": [
"arn:aws:s3:::bucket-name/data/all-data/*"
]
}
]
}
此策略中的第一个语句允许列出特定桶的子目录中的对象。该资源需要是S3存储桶的arn，为了将列表限制为该存储桶中的子目录，您可以编辑“S3:prefix”值。
此策略中的第二条语句允许在特定子目录的桶中获取对象。这意味着“s3://bucket-name/data/all-data/”路径中的任何内容都可以复制。请注意，这不允许你从父路径复制，如“s3://bucket-name/data/”。
此解决方案专门用于限制AWS CLI命令的使用;如果您需要通过AWS控制台或API限制S3访问，则需要更多策略。我建议大家去https://aws.amazon.com/blogs/security/writing-iam-policies-grant-access-to-user-specific-folders-in-an-amazon-s3-bucket/看看。
类似的问题可以在这里找到，这让我想到了我给出的解决方案。 https://github.com/aws/aws-cli/issues/2408
希望这能有所帮助!
其他回答
对于启用了MFA的亚马逊用户，请使用以下命令: Aws s3 ls s3://桶名——profile mfa。
并首先通过运行准备配置文件mfa Aws STS get-session-token——serial-number arn: Aws:iam::123456789012:mfa/user-name——token-code 928371——duration 129600。(替换123456789012,user-name和928371)。
如果在minio的新版本上突然出现这个错误，那么原因是桶访问策略默认值从2021版本更改为2022版本。现在在2022版本中，默认情况下所有的桶(新创建的和现有的)都将访问策略设置为私有-仅提供服务器凭据来访问它们是不够的-你仍然会得到如下错误(这里:返回到python minio客户端):
S3Error: S3 operation failed; code: AccessDenied, message: Access Denied., resource: /dicts, request_id: 16FCBE6EC0E70439, host_id: 61486e5a-20be-42fc-bd5b-7f2093494367, bucket_name: dicts
要在2022版本中回滚到以前的安全设置，最快的方法是在MinIO控制台中(或通过mc客户端)将桶访问访问策略更改为Public。
我遇到了同样的错误“在调用ListObjectsV2操作时发生了错误(AccessDenied):访问被拒绝”
注意: 桶策略不是一个好的解决方案。 在IAM服务中创建新的自定义策略，附加到各自的用户将更安全。
按以下程序求解:
IAM Service > Policies > Create Policy > select JSON > .使用实例
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:ListBucket",
"s3:GetObject",
"s3:GetObjectAcl",
"s3:ListBucketVersions"
],
"Resource": [
"arn:aws:s3:::<bucket name>"
]
},
{
"Effect": "Allow",
"Action": [
"s3:ListBucket",
"s3:GetObject",
"s3:GetObjectAcl",
"s3:PutObject",
"s3:DeleteObject",
"s3:ListBucketMultipartUploads",
"s3:ListMultipartUploadParts",
"s3:AbortMultipartUpload",
"s3:DeleteObjectVersion",
"s3:GetObjectVersion",
"s3:PutObjectACL",
"s3:ListBucketVersions"
],
"Resource": [
"arn:aws:s3:::<bucketname>/*"
]
}
]
}
选择Next Tag > Review Policy输入并创建策略。
选择新创建的策略 在新创建的策略窗口的编辑窗口中选择“Policy Usage”选项卡。 选择“附加”，从列表中选择用户并保存。
现在尝试在控制台用桶名列出对象，没有桶名会抛出相同的错误。
$aws s3 ls
如果需要复制所有s3桶对象，请使用“aws s3 cp s3://bucket-name/data/all-data/”命令。正如你提到的，这里有一个安全且最小的策略来做到这一点:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:ListBucket"
],
"Resource": [
"arn:aws:s3:::bucket-name"
],
"Condition": {
"StringLike": {
"s3:prefix": "data/all-data/*"
}
}
},
{
"Effect": "Allow",
"Action": [
"s3:GetObject"
],
"Resource": [
"arn:aws:s3:::bucket-name/data/all-data/*"
]
}
]
}
此策略中的第一个语句允许列出特定桶的子目录中的对象。该资源需要是S3存储桶的arn，为了将列表限制为该存储桶中的子目录，您可以编辑“S3:prefix”值。
此策略中的第二条语句允许在特定子目录的桶中获取对象。这意味着“s3://bucket-name/data/all-data/”路径中的任何内容都可以复制。请注意，这不允许你从父路径复制，如“s3://bucket-name/data/”。
此解决方案专门用于限制AWS CLI命令的使用;如果您需要通过AWS控制台或API限制S3访问，则需要更多策略。我建议大家去https://aws.amazon.com/blogs/security/writing-iam-policies-grant-access-to-user-specific-folders-in-an-amazon-s3-bucket/看看。
类似的问题可以在这里找到，这让我想到了我给出的解决方案。 https://github.com/aws/aws-cli/issues/2408
希望这能有所帮助!
您必须通过“arn:aws:s3:::bucketname”或“arn:aws:3:: bucketname*”为桶指定Resource。后者是首选，因为它也允许对桶的对象进行操作。注意这里没有斜杠!
列出对象是Bucket上的一个操作。因此，需要执行“s3:ListBucket”操作。 向Bucket中添加对象是object上的操作。因此，需要动作“s3:PutObject”。 当然，您可能希望根据需要添加其他操作。
{
"Version": "version_id",
"Statement": [
{
"Sid": "some_id",
"Effect": "Allow",
"Action": [
"s3:ListBucket",
"s3:PutObject"
],
"Resource": [
"arn:aws:s3:::bucketname*"
]
}
]
}
