Go Lambda 具有完全访问策略 403 S3 PutObject 上的访问被拒绝

Question

我正在尝试通过 Go 中的 Lambda 将文件上传到 S3 存储桶。 我能够毫无问题地从存储桶中读取对象，但是每当我尝试将 object 上传到存储桶时，我都会收到Access Denied错误。

为了调试，我创建了以下简单的 Lambda function：

package main

import (
    "bytes"
    "context"
    "log"

    "github.com/aws/aws-lambda-go/lambda"
    "github.com/aws/aws-sdk-go-v2/aws"
    "github.com/aws/aws-sdk-go-v2/service/s3"
)

func LambdaMainWrapper() {
    data := []byte("this is some data stored as a byte slice in Go Lang!")

    // convert byte slice to io.Reader
    reader := bytes.NewReader(data)

    // upload to s3
    client := s3.New(s3.Options{Region: "us-east-2"})
    putObjectInput := &s3.PutObjectInput{
        Bucket: aws.String(<MY_BUCKET_NAME>),
        Key:    aws.String("test-file"),
        Body:   reader,
    }
    res, err := client.PutObject(context.Background(), putObjectInput)
    if err != nil {
        log.Fatal("Error uploading object to S3: ", err)
    }

    log.Println("[s3 res]", res)
}

func main() {
    lambda.Start(LambdaMainWrapper)
}

以下是有关 function 执行角色的附加策略，据我了解，该策略授予它将 object 上传到存储桶所需的所有权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ExampleStmt",
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::<MY_BUCKET_NAME>/*"
            ]
        },
        {
            "Sid": "ExampleStmt2",
            "Action": [
                "s3:PutObject"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::<MY_BUCKET_NAME>/*"
            ]
        },
        {
            "Sid": "ExampleStmt3",
            "Action": [
                "s3:PutObjectAcl"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::<MY_BUCKET_NAME>/*"
            ]
        }
    ]
}

Lambda 报告回来：

START RequestId: XXX Version: $LATEST
2022/01/25 16:39:06 Error uploading object to S3: operation error S3: PutObject, https response error StatusCode: 403, RequestID: XXXXXXXXXX, HostID: XXXXXXXXXXXXXXXXXXXXXXXXXXXXX, api error AccessDenied: Access Denied
2022/01/25 16:39:06 unexpected EOF
2022/01/25 16:39:06 unexpected EOF
END RequestId: XXX

我正在努力解决这个问题，因为我的 Go S3 客户端配置出错，或者我在 AWS 中配置的权限不正确。 甚至可能是我错误地发送了 object 的正文 - 这可能解释了unexpected EOF消息。 非常感谢任何帮助，谢谢！

e：使用本地 S3 客户端（无 lambda），我能够成功地从 S3 上传和下载对象。

Answer 1

原来问题是凭据。 我正在访问的存储桶允许公共读取访问，因此我的GetObject调用正常工作。 但是，它不允许公共写访问，所以PutObject调用导致403 Access Denied ♂️ 我假设我的GetObject调用已经过身份验证，但你知道他们说什么假设......

修复只是改变了

// upload to s3
client := s3.New(s3.Options{Region: "us-east-2"})

至

cfg, err := config.LoadDefaultConfig(context.TODO())
cfg.Region = "us-east-2"
client := s3.NewFromConfig(cfg)

感谢@jarmod 让我意识到我应该尝试使用 lambda 函数的本地默认配置，就像在 localhost 上运行时一样！