AWS S3上传权限问题求助：已配置凭证仍遭AccessDenied

问题描述 #

作为S3存储桶my-private-bucket的所有者，使用AWS CLI上传myfile.txt时持续失败。已通过以下命令配置凭证：

export AWS_ACCESS_KEY_ID=AKIAEXAMPLE
export AWS_SECRET_ACCESS_KEY=exampleexample
export AWS_REGION=us-east-1  

执行上传命令：

aws s3 cp myfile.txt s3://my-private-bucket/

收到的错误信息包括：

• AccessDenied：用户arn:aws:iam::987654321098:user/rajitpbhartan无s3:PutObject权限
• NoCredentialsError：无法定位凭证
• PartialCredentialsError：请求中的安全令牌无效
• 附带Unicode解码错误

已为该IAM用户分配管理员权限，使用sudo执行命令也无效。

排查与解决步骤 #

1. 验证凭证有效性与加载情况 #

• 检查环境变量是否正确加载：

  echo $AWS_ACCESS_KEY_ID
  echo $AWS_SECRET_ACCESS_KEY
  echo $AWS_REGION
  

  确保输出内容与配置一致，无拼写错误或多余空格。
• 若使用Windows系统，环境变量配置需用set命令而非export，或通过系统属性设置后重启终端：

  set AWS_ACCESS_KEY_ID=AKIAEXAMPLE
  set AWS_SECRET_ACCESS_KEY=exampleexample
  set AWS_REGION=us-east-1
  

• 避免同时存在多个凭证来源（如~/.aws/credentials文件、IAM角色、环境变量），优先级冲突可能导致CLI加载错误凭证。可通过以下命令查看当前生效的凭证：

  aws configure list
  

2. 确认IAM权限配置 #

• 检查管理员权限策略是否正确关联到用户：
  1. 登录AWS控制台，进入IAM服务，找到用户rajitpbhartan
  2. 查看“权限”标签，确认AdministratorAccess策略已附加，且策略无额外限制（如MFA强制、IP范围限制）
• 若管理员权限未生效，可直接添加针对目标存储桶的精细权限策略，示例：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "s3:PutObject",
              "Resource": "arn:aws:s3:::my-private-bucket/*"
          }
      ]
  }
  

3. 检查S3存储桶策略 #

• 存储桶策略可能覆盖IAM用户权限，即使用户有管理员权限，若桶策略明确拒绝PutObject操作也会失败。查看存储桶策略：
  1. 进入S3控制台，找到my-private-bucket
  2. 进入“权限”标签，查看“桶策略”
     确保桶策略中没有针对该用户或其ARN的拒绝语句，若有需删除或调整。

4. 排查CLI与依赖问题 #

• 错误信息中出现Python依赖的Traceback，可能是AWS CLI或botocore版本问题，更新到最新版本：

  pip install --upgrade awscli botocore
  

• 若使用Windows系统，可重新安装AWS CLI，避免文件损坏导致的解码错误。

5. 测试基础连通性 #

• 先执行简单命令验证身份是否正确：

  aws s3 ls s3://my-private-bucket/
  

  若此命令也报错，说明身份验证或权限问题未解决；若能列出桶内容，再聚焦上传命令的参数问题（如文件路径是否正确）。

内容的提问来源于stack exchange，提问作者user29668747