Cosa causa l'accesso negato quando si utilizza aws cli per scaricare da Amazon S3?

Sto davvero andando in giro in AWS cercando di capire cosa mi sto perdendo qui. Mi piacerebbe farlo in modo che un utente IAM possa scaricare file da un bucket S3 - senza solo rendere i file totalmente pubblici - ma mi viene negato l'accesso. Se qualcuno riesce a individuare ciò che è fuori, sarò entusiasta.

Quello che ho fatto finora:

• Creato un utente chiamato my-user (per esempio)
• Generato chiavi di accesso per l'utente e inserirle in ~ / .aws su un'istanza EC2
• Ho creato una politica bucket che speravo conceda l'accesso per il mio utente
• Ho eseguito il comando aws s3 cp --profile my-user s3://my-bucket/thing.zip .

Politica della benna:

{
  "Id": "Policy1384791162970",
  "Statement": [
    {
      "Sid": "Stmt1384791151633",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::my-bucket/*",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:user/my-user"
      }
    }
  ]
}

Il risultato è A client error (AccessDenied) occurred: Access Deniedanche se posso scaricare usando lo stesso comando e le chiavi di accesso predefinite (account root?).

Ho provato anche ad aggiungere una politica utente. Anche se non so perché sarebbe necessario, ho pensato che non avrebbe fatto male, quindi l'ho attaccato al mio utente.

{
  "Statement": [
    {
      "Sid": "Stmt1384889624746",
      "Action": "s3:*",
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::my-bucket/*"
    }
  ]
}

Stessi risultati

Anch'io stavo lottando con questo, ma ho trovato una risposta qui https://stackoverflow.com/a/17162973/1750869 che mi ha aiutato a risolvere questo problema. Ripubblicare la risposta di seguito.

Non devi aprire le autorizzazioni a tutti. Utilizzare i criteri Bucket seguenti sull'origine e sulla destinazione per copiare da un bucket in un account a un altro utilizzando un utente IAM

Benna da cui copiare - SourceBucket

Benna da copiare in: DestinationBucket

ID account AWS sorgente - XXXX – XXXX-XXXX

Utente IAM di origine - src – iam-user

La politica di seguito indica - l'utente IAM - XXXX – XXXX-XXXX: src – iam-user ha s3: ListBucket e s3: i privilegi di GetObject su SourceBucket / * e s3: ListBucket e s3: i privilegi PutObject su DestinationBucket / *

Su SourceBucket la politica dovrebbe essere come:

{
"Id": "Policy1357935677554",
"Statement": [
    {
        "Sid": "Stmt1357935647218",
        "Action": [
            "s3:ListBucket"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:s3:::SourceBucket",
        "Principal": {"AWS": "arn:aws:iam::XXXXXXXXXXXX:user/src–iam-user"}
    },
    {
        "Sid": "Stmt1357935676138",
        "Action": ["s3:GetObject"],
        "Effect": "Allow",
        "Resource": "arn:aws:s3::: SourceBucket/*",
        "Principal": {"AWS": "arn:aws:iam::XXXXXXXXXXXX:user/src–iam-user"}
   }
]
}

Sul DestinationBucket la politica dovrebbe essere:

{
"Id": "Policy1357935677554",
"Statement": [
    {
        "Sid": "Stmt1357935647218",
        "Action": [
            "s3:ListBucket"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:s3::: DestinationBucket",
        "Principal": {"AWS": "arn:aws:iam::XXXXXXXXXXXX:user/src–iam-user"}
    },
    {
        "Sid": "Stmt1357935676138",
        "Action": ["s3:PutObject"],
        "Effect": "Allow",
        "Resource": "arn:aws:s3::: DestinationBucket/*",
        "Principal": {"AWS": "arn:aws:iam::XXXXXXXXXXXX:user/src–iam-user"}
   }
]
}

il comando da eseguire è s3cmd cp s3://SourceBucket/File1 s3://DestinationBucket/File1

Quando ho riscontrato lo stesso problema, ho scoperto che AWS richiedeva l'attivazione della crittografia lato server. Quindi il seguente comando ha funzionato correttamente per me:

aws s3 cp test.txt s3://my-s3-bucket --sse AES256

Non consiglierei l'opzione "Qualsiasi utente AWS autenticato" menzionato da James.

In questo modo si aggiunge un ACL a livello di bucket che consente a qualsiasi account AWS (non solo agli utenti IAM) di elencare / eliminare / modificare-acls per quel bucket.

cioè pubblica lettura / scrittura per chiunque abbia un account aws.

Sono riuscito a risolvere questo problema senza dover scrivere politiche: dalla console S3 (interfaccia utente Web) ho selezionato il bucket e nella scheda delle autorizzazioni ho scelto "Qualsiasi utente AWS autenticato" e ho assegnato il ticket a tutte le caselle.

AGGIORNAMENTO: come sottolineato nei commenti "Qualsiasi utente AWS autenticato" non è solo utenti nel tuo account, è tutto utente autenticato AWS, ti preghiamo di usare con cautela

Anche se i criteri IAM sono impostati correttamente, è comunque possibile che si verifichi un errore come An error occurred (AccessDenied) when calling the <OPERATION-NAME> operation: Access Denieddovuto ai requisiti MFA (Autenticazione a più fattori) sulle proprie credenziali. Questi possono prenderti alla sprovvista perché se hai già effettuato l'accesso alla console AWS sembrerà che le tue credenziali funzionino correttamente e il messaggio di errore negato dal permesso di aws cli non sia particolarmente utile.

Ci sono già alcune buone istruzioni su come configurare MFA con aws cli:

• AWS: autentica CLI AWS con token MFA
• StackTranslate.it - ​​Come utilizzare MFA con la CLI di AWS?

Fondamentalmente, devi ottenere l'indirizzo del tuo dispositivo MFA e inviarlo con il codice dal tuo dispositivo per ottenere un token temporaneo.

Sono semplicemente andato sull'interfaccia utente Web e ho fatto clic sul bucket, quindi sono andato alle autorizzazioni e quindi sono andato alla politica. Quando l'ho aperto ho appena fatto clic su Elimina. L'ho fatto perché penso che fosse anche la configurazione.

Sono tornato alla pagina principale di s3, quindi ho fatto clic sul bucket e ho tentato di eliminarlo e ha funzionato.

anche quando l'ho fatto usando aws-cli

$ aws s3 rb s3://bucket-name --force  

Comunque, questa è la cosa che ha funzionato per me. La politica sulle autorizzazioni ti impedisce di eliminare il bucket.

Una volta ho ricevuto questo errore semplicemente cercando di eseguire:

aws s3 cp s3://[bucketName]/[fileName] .

in una cartella in cui non avevo i permessi. È sciocco, ma assicurati di essere il proprietario della cartella in cui ti trovi prima di andare avanti!

Il problema sorge quando si inseriscono nomi di risorse o oggetti non validi. Ho avuto lo stesso problema con boto3 (nel mio caso non era un nome bucket non valido)