其他人在我的 AWS S3 存储桶中创建的对象的访问权限被拒绝

Question

我们有一个将文件写入 Amazon S3 存储桶的应用程序。 我无法将文件下载或复制到不同的存储桶。 我收到access denied错误。 文件的所有者是其他人，但存储桶归我们所有。 该人不可访问，也不存在于组织中。 如何访问文件并更改访问权限或更改文件的所有者？

我尝试将对象从源存储桶复制到目标存储桶，但出现Error 403 。

这是存储桶策略：

{
    "Version": "2012-10-17",
    "Id": "abcd",
    "Statement": [
        {
            "Sid": "abcd",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::123456789012:user/xxx"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:GetBucketLocation",
                "s3:ListBucket",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": [
                "arn:aws:s3:::xyz/*",
                "arn:aws:s3:::xyz"
            ]
        }
    ]
} 

预期：我想将这些文件移动到不同的存储桶或下载这些文件。 它给出错误Access denied 403 。

Answer 1

文件的上传者需要将对象的完全控制权授予存储桶所有者。

如何执行此操作取决于您用于上传文件的工具或 SDK。 例如，如果您使用的是awscli ，那么您将 append --acl bucket-owner-full-control到aws s3 cp命令。

作为 S3 存储桶所有者，您可以通过指定适当的 S3 存储桶策略来要求上传者为您提供完全控制权。

请注意，授予存储桶拥有者完全控制权并不会使存储桶拥有者成为对象的拥有者。 它们仍归上传者所有。 但是，如果存储桶拥有者拥有完全控制权并想要拥有所有权，那么存储桶拥有者可以简单地将每个文件复制到自身之上，这将转移所有权。