Was führt dazu, dass der Zugriff verweigert wird, wenn die aws cli zum Herunterladen von Amazon S3 verwendet wird?

Ich stöbere wirklich in AWS herum und versuche herauszufinden, was ich hier vermisse. Ich möchte, dass ein IAM-Benutzer Dateien aus einem S3-Bucket herunterladen kann, ohne die Dateien nur vollständig öffentlich zugänglich zu machen, aber mir wird der Zugriff verweigert. Wenn jemand erkennen kann, was los ist, bin ich begeistert.

Was ich bisher gemacht habe:

• Erstellt einen Benutzer namens my-user (zum Beispiel)
• Generierte Zugriffsschlüssel für den Benutzer und legte sie in ~ / .aws auf einer EC2-Instanz ab
• Erstellt eine Bucket-Richtlinie, von der ich gehofft hatte, dass sie meinem Benutzer Zugriff gewährt
• Lief den Befehl aws s3 cp --profile my-user s3://my-bucket/thing.zip .

Bucket-Richtlinie:

{
  "Id": "Policy1384791162970",
  "Statement": [
    {
      "Sid": "Stmt1384791151633",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::my-bucket/*",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:user/my-user"
      }
    }
  ]
}

Das Ergebnis ist, A client error (AccessDenied) occurred: Access Denieddass ich mit demselben Befehl und den Standardzugriffsschlüsseln (Root-Konto?) Herunterladen kann.

Ich habe auch versucht, eine Benutzerrichtlinie hinzuzufügen. Obwohl ich nicht weiß, warum es notwendig sein würde, dachte ich, dass es nicht wehtun würde, und fügte dies meinem Benutzer hinzu.

{
  "Statement": [
    {
      "Sid": "Stmt1384889624746",
      "Action": "s3:*",
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::my-bucket/*"
    }
  ]
}

Gleiche Ergebnisse.

Ich hatte auch damit zu kämpfen, aber ich habe hier eine Antwort gefunden: https://stackoverflow.com/a/17162973/1750869 , die dazu beigetragen hat, dieses Problem für mich zu lösen. Antwort unten erneut posten.

Sie müssen die Berechtigungen nicht für alle Benutzer öffnen. Verwenden Sie die folgenden Bucket-Richtlinien für Quelle und Ziel, um mithilfe eines IAM-Benutzers von einem Bucket in ein anderes Konto zu kopieren

Bucket zum Kopieren aus - SourceBucket

Bucket zum Kopieren nach - DestinationBucket

Quell-AWS-Konto-ID - XXXX – XXXX-XXXX

Quell-IAM-Benutzer - src – iam-Benutzer

Die folgende Richtlinie bedeutet: - Der IAM-Benutzer - XXXX – XXXX-XXXX: src – iam-Benutzer hat die Berechtigungen s3: ListBucket und s3: GetObject für SourceBucket / * und s3: ListBucket und s3: PutObject für DestinationBucket / *.

Auf dem SourceBucket sollte die Richtlinie wie folgt lauten:

{
"Id": "Policy1357935677554",
"Statement": [
    {
        "Sid": "Stmt1357935647218",
        "Action": [
            "s3:ListBucket"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:s3:::SourceBucket",
        "Principal": {"AWS": "arn:aws:iam::XXXXXXXXXXXX:user/src–iam-user"}
    },
    {
        "Sid": "Stmt1357935676138",
        "Action": ["s3:GetObject"],
        "Effect": "Allow",
        "Resource": "arn:aws:s3::: SourceBucket/*",
        "Principal": {"AWS": "arn:aws:iam::XXXXXXXXXXXX:user/src–iam-user"}
   }
]
}

Auf dem DestinationBucket sollte die Richtlinie sein:

{
"Id": "Policy1357935677554",
"Statement": [
    {
        "Sid": "Stmt1357935647218",
        "Action": [
            "s3:ListBucket"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:s3::: DestinationBucket",
        "Principal": {"AWS": "arn:aws:iam::XXXXXXXXXXXX:user/src–iam-user"}
    },
    {
        "Sid": "Stmt1357935676138",
        "Action": ["s3:PutObject"],
        "Effect": "Allow",
        "Resource": "arn:aws:s3::: DestinationBucket/*",
        "Principal": {"AWS": "arn:aws:iam::XXXXXXXXXXXX:user/src–iam-user"}
   }
]
}

auszuführender Befehl ist s3cmd cp s3://SourceBucket/File1 s3://DestinationBucket/File1

Als ich auf dasselbe Problem stieß, stellte sich heraus, dass für AWS die serverseitige Verschlüsselung aktiviert sein musste. Der folgende Befehl hat bei mir also erfolgreich funktioniert:

aws s3 cp test.txt s3://my-s3-bucket --sse AES256

Ich würde die von James erwähnte Option "Jeder authentifizierte AWS-Benutzer" nicht empfehlen.

Dadurch wird eine Zugriffssteuerungsliste auf Bucket-Ebene hinzugefügt, mit der jedes AWS-Konto (nicht nur Ihre IAM-Benutzer) die ACLs für diesen Bucket auflisten / löschen / ändern kann.

dh öffentlich lesen / schreiben für jeden mit einem aws Account.

Ich habe es geschafft, das Problem zu beheben, ohne Richtlinien schreiben zu müssen. In der S3-Konsole (Web-UI) habe ich den Bucket ausgewählt und auf der Registerkarte Berechtigungen die Option "Jeder authentifizierte AWS-Benutzer" ausgewählt und alle Boxen abgehakt.

UPDATE: Wie in den Kommentaren erwähnt, ist "Jeder authentifizierte AWS-Benutzer" nicht nur ein Benutzer in Ihrem Konto, sondern ausschließlich ein AWS-authentifizierter Benutzer

Auch wenn Ihre IAM-Richtlinien korrekt eingerichtet sind, kann es zu Fehlern An error occurred (AccessDenied) when calling the <OPERATION-NAME> operation: Access Deniedaufgrund von MFA-Anforderungen (Multi-Factor Authentication) für Ihre Anmeldeinformationen kommen. Diese können Sie überraschen, denn wenn Sie sich bereits bei der AWS-Konsole angemeldet haben, scheinen Ihre Anmeldeinformationen einwandfrei zu funktionieren, und die Fehlermeldung von aws cli, der die Berechtigung verweigert wurde, ist nicht besonders hilfreich.

Es gibt bereits einige gute Anweisungen zum Einrichten von MFA mit aws cli:

• AWS - Authentifizieren Sie AWS CLI mit MFA-Token
• Stapelüberlauf - Wie verwende ich MFA mit AWS CLI?

Grundsätzlich müssen Sie die Adresse Ihres MFA-Geräts abrufen und diese mit dem Code Ihres Geräts senden, um ein temporäres Token zu erhalten.

Ich ging einfach über die Web-Benutzeroberfläche auf und klickte auf den Eimer, ging dann zu Berechtigungen und ging dann zu Richtlinien. Als ich es öffnete, klickte ich einfach auf Löschen. Ich habe das gemacht, weil ich denke, dass es auch die Konfiguration war.

Ich ging zurück zur Hauptseite von S3, klickte dann auf den Eimer und versuchte ihn zu löschen und es funktionierte.

auch wenn ich es mit aws-cli gemacht habe

$ aws s3 rb s3://bucket-name --force  

Jedenfalls hat das bei mir funktioniert. Die Richtlinie zu Berechtigungen hindert Sie daran, den Bucket zu löschen.

Sobald ich diese Fehlermeldung erhalten habe, indem ich einfach versucht habe zu starten:

aws s3 cp s3://[bucketName]/[fileName] .

in einem Ordner, in dem ich keine Berechtigungen hatte. Es ist albern, aber stellen Sie sicher, dass Sie der Eigentümer des Ordners sind, in dem Sie sich befinden, bevor Sie fortfahren!

Das Problem tritt auf, wenn Sie ungültige Ressourcen- oder Objektnamen einfügen. Ich hatte das gleiche Problem mit boto3 (in meinem Fall war es ein ungültiger Bucket-Name).