使用Boto3生成S3多区域访问点预签名URL遇区域错误排查

1. 跨区域请求预签名URL的区域不匹配问题 #

你遇到的错误是因为生成预签名URL时，Boto3客户端默认使用了us-east-1区域，但多区域访问点的SigV4签名必须与多区域访问点的创建区域绑定，而非请求发起的区域。

解决方案：指定多区域访问点的创建区域 #

在初始化S3客户端时，显式指定多区域访问点的创建区域（比如你的EC2部署在eu-west-2，大概率访问点也是在此区域创建的），修改后的代码如下：

s3Config = Config(
    signature_version = 'v4'
)

s3Client_MultiRegion = boto3.client(
    's3',
    aws_access_key_id = appConfig.S3_ACCESS_KEY,
    aws_secret_access_key = appConfig.S3_SECRET_KEY,
    config = s3Config,
    region_name = 'eu-west-2'  # 替换为你的多区域访问点创建区域
)

protectedFileUrl = s3Client_MultiRegion.generate_presigned_url(
  HttpMethod='GET',
  ClientMethod="get_object", 
  Params={
    'Bucket': appConfig.AMAZON_S3_BUCKET_MULTIREGIONACCESSPOINT_ARN,
    'Key':folderPath
  },
  ExpiresIn=60
)

原理说明 #

多区域访问点虽然能自动路由请求到就近的复制存储桶，但SigV4签名的区域必须与访问点本身的创建区域一致。浏览器发起请求时，多区域访问点会处理跨区域路由，你无需根据请求来源区域动态调整签名区域，只需固定使用访问点的创建区域即可。

2. Lambda@Edge与预签名URL的头部问题 #

你的理解是正确的：受保护文件使用预签名URL时，不需要通过Lambda@Edge添加Sig4头。

预签名URL已经包含了SigV4验证所需的所有参数（如X-Amz-Credential、X-Amz-Signature、X-Amz-Date等），浏览器直接请求该URL即可完成身份验证。如果额外通过Lambda@Edge添加Sig4相关头部，反而会导致签名参数冲突，触发验证错误。

对于公开文件，你当前用Lambda@Edge添加Sig4头的方案没问题，但受保护文件完全不需要这个操作。

内容的提问来源于stack exchange，提问作者Doug