其他人在我的 AWS S3 存儲桶中創建的對象的訪問權限被拒絕

Question

我們有一個將文件寫入 Amazon S3 存儲桶的應用程序。 我無法將文件下載或復制到不同的存儲桶。 我收到access denied錯誤。 文件的所有者是其他人，但存儲桶歸我們所有。 該人不可訪問，也不存在於組織中。 如何訪問文件並更改訪問權限或更改文件的所有者？

我嘗試將對象從源存儲桶復制到目標存儲桶，但出現Error 403 。

這是存儲桶策略：

{
    "Version": "2012-10-17",
    "Id": "abcd",
    "Statement": [
        {
            "Sid": "abcd",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::123456789012:user/xxx"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:GetBucketLocation",
                "s3:ListBucket",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": [
                "arn:aws:s3:::xyz/*",
                "arn:aws:s3:::xyz"
            ]
        }
    ]
} 

預期：我想將這些文件移動到不同的存儲桶或下載這些文件。 它給出錯誤Access denied 403 。

Answer 1

文件的上傳者需要將對象的完全控制權授予存儲桶所有者。

如何執行此操作取決於您用於上傳文件的工具或 SDK。 例如，如果您使用的是awscli ，那么您將 append --acl bucket-owner-full-control到aws s3 cp命令。

作為 S3 存儲桶所有者，您可以通過指定適當的 S3 存儲桶策略來要求上傳者為您提供完全控制權。

請注意，授予存儲桶擁有者完全控制權並不會使存儲桶擁有者成為對象的擁有者。 它們仍歸上傳者所有。 但是，如果存儲桶擁有者擁有完全控制權並想要擁有所有權，那么存儲桶擁有者可以簡單地將每個文件復制到自身之上，這將轉移所有權。