访问S3 Bucket对象返回403错误，Alexa无法连接音频URI求助

• 修正桶策略的服务主体
  部分场景下Alexa访问S3需要使用alexa-media-service.amazon.com作为服务主体，而非alexa-appkit.amazon.com。替换后更新桶策略：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Principal": {
                  "Service": "alexa-media-service.amazon.com"
              },
              "Action": "s3:GetObject",
              "Resource": "arn:aws:s3:::你的实际桶名/*"
          }
      ]
  }
  

  同时确认桶名拼写完全正确，资源ARN末尾的/*必须保留，确保覆盖桶内所有对象。

• 验证Lambda角色的S3权限
  检查Lambda角色的权限策略，确保包含针对目标桶的s3:GetObject操作，资源需精确指向arn:aws:s3:::你的实际桶名/*，而非仅桶级别（arn:aws:s3:::你的实际桶名）。

• 排查S3对象存储类别
  若音频文件存储在冰川、智能分层（需归档恢复）等存储类别，会导致即时访问失败，需将对象切换至标准存储类。

• VPC环境下的网络配置检查
  如果Lambda部署在VPC内：

  • 必须配置S3网关类型的VPC端点，确保Lambda无需公网即可访问S3
  • 检查安全组和网络ACL，允许Lambda向S3发起出站流量

• 确认区域一致性
  S3桶所在AWS区域需与Alexa技能部署区域完全匹配，跨区域访问可能触发权限验证失败。

• Lambda直接访问测试
  在Lambda中添加测试代码，验证角色是否能正常访问S3：

  import boto3
  
  s3_client = boto3.client('s3')
  def lambda_handler(event, context):
      try:
          s3_client.get_object(Bucket='你的实际桶名', Key='音频文件的完整键路径')
          return {'statusCode': 200, 'message': 'S3访问成功'}
      except Exception as e:
          return {'statusCode': 500, 'error': str(e)}
  

  若测试失败，问题集中在Lambda角色或S3基础配置；若测试成功，则需重新检查Alexa服务的权限策略。

内容的提问来源于stack exchange，提问作者DrexxBoban