我得到:
在调用ListObjects操作时发生错误(AccessDenied): AccessDenied
当我试图从S3存储桶中获取文件夹时。
使用该命令:
aws s3 cp s3://bucket-name/data/all-data/ . --recursive
桶的IAM权限如下所示:
{
"Version": "version_id",
"Statement": [
{
"Sid": "some_id",
"Effect": "Allow",
"Action": [
"s3:*"
],
"Resource": [
"arn:aws:s3:::bucketname/*"
]
}
] }
我需要改变什么才能成功复制和ls ?
当前回答
我无法访问S3，因为
首先，我在实例上配置了密钥访问(在启动后不可能附加角色) 先把这事忘了几个月 将角色附加到实例 尝试访问。 配置的密钥优先级高于role，由于没有授予用户必要的S3权限，因此拒绝访问。
解决方案:rm -rf .aws/credentials，那么aws使用role。
其他回答
我也有同样的问题。我必须提供正确的资源和行动，资源是你的桶的arn和行动在你想要的权限。另外，请确保您有正确的用户arn。以下是我的解决方案。
{
"Version": "2012-10-17",
"Id": "Policy1546414123454",
"Statement": [
{
"Sid": "Stmt1546414471931",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::123456789101:root"
},
"Action": ["s3:ListBucket", "s3:ListBucketVersions"],
"Resource": "arn:aws:s3:::bucket-name"
}
]
}
比起之前的答案，我更喜欢这个。它展示了如何使用YAML格式，并允许您使用一个变量来指定bucket。
- PolicyName: "AllowIncomingBucket"
PolicyDocument:
Version: "2012-10-17"
Statement:
- Effect: "Allow"
Action: "s3:*"
Resource:
- !Ref S3BucketArn
- !Join ["/", [!Ref S3BucketArn, '*']]
遇到了类似的问题，对我来说，问题是我在bash_profile中设置了不同的AWS密钥。
我在这里回答了一个类似的问题:https://stackoverflow.com/a/57317494/11871462
如果bash_profile中有冲突的AWS密钥，AWS CLI会默认使用这些密钥。
如果需要复制所有s3桶对象，请使用“aws s3 cp s3://bucket-name/data/all-data/”命令。正如你提到的，这里有一个安全且最小的策略来做到这一点:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:ListBucket"
],
"Resource": [
"arn:aws:s3:::bucket-name"
],
"Condition": {
"StringLike": {
"s3:prefix": "data/all-data/*"
}
}
},
{
"Effect": "Allow",
"Action": [
"s3:GetObject"
],
"Resource": [
"arn:aws:s3:::bucket-name/data/all-data/*"
]
}
]
}
此策略中的第一个语句允许列出特定桶的子目录中的对象。该资源需要是S3存储桶的arn，为了将列表限制为该存储桶中的子目录，您可以编辑“S3:prefix”值。
此策略中的第二条语句允许在特定子目录的桶中获取对象。这意味着“s3://bucket-name/data/all-data/”路径中的任何内容都可以复制。请注意，这不允许你从父路径复制，如“s3://bucket-name/data/”。
此解决方案专门用于限制AWS CLI命令的使用;如果您需要通过AWS控制台或API限制S3访问，则需要更多策略。我建议大家去https://aws.amazon.com/blogs/security/writing-iam-policies-grant-access-to-user-specific-folders-in-an-amazon-s3-bucket/看看。
类似的问题可以在这里找到，这让我想到了我给出的解决方案。 https://github.com/aws/aws-cli/issues/2408
希望这能有所帮助!
我认为错误是由于“s3:ListObjects”操作，但我不得不添加操作“s3:ListBucket”来解决“AccessDenied for ListObjects for s3 bucket”的问题
