使用AWS MRAP发起GET请求遇Signature Version 4a错误求助

核心错误原因 #

你遇到的InvalidRequest错误，本质是Multi-Region Access Point（MRAP）强制要求使用Signature Version 4a（SigV4a）签名，普通的Signature Version 4（SigV4）签名不被MRAP的全局端点支持。这个问题和你调整MRAP策略、关闭公共访问的操作无关，核心是请求的签名版本不符合要求。

具体解决方案 #

• 使用AWS SDK发起请求：确保使用的AWS SDK版本支持SigV4a。目前主流AWS SDK的最新版本（如Python boto3 v1.20+、Java SDK v2.x、AWS CLI v2.x）会自动识别MRAP的s3-global.amazonaws.com端点，并自动使用SigV4a签名，无需额外配置。
• 手动构造HTTP请求（如curl）：需要按照AWS SigV4a规范手动生成签名。和SigV4不同，SigV4a的签名计算需要将区域参数设为*，并构造对应的Authorization请求头。
• 实现无签名的公共访问：如果不需要签名、希望直接匿名访问，除了当前的MRAP策略和关闭公共访问设置外，还需要：
  1. 确保所有关联的S3桶都关闭了“阻止所有公共访问”，并且桶策略添加了允许匿名GetObject的规则，示例桶策略：

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": "*",
                 "Action": "s3:GetObject",
                 "Resource": "arn:aws:s3:::your-bucket-name/*"
             }
         ]
     }
     

  2. 发起请求时，确保不携带任何AWS签名相关的请求头（如Authorization、X-Amz-Signature、X-Amz-Credential等），避免客户端自动添加默认的SigV4签名。

额外验证项 #

• 确认MRAP的别名、对象路径是否正确，请求URL格式无误：https://{your-mrap-alias}.s3-global.amazonaws.com/{directory}/{file}.jpg
• 检查MRAP是否已完成和所有关联桶的同步，确保对象确实存在于关联的桶中。

内容的提问来源于stack exchange，提问作者Sebastian Hanowski