Bazel远程缓存至S3返回403 Forbidden错误求助

1. 排查Bazel的AWS凭证读取逻辑 #

Bazel读取AWS凭证的优先级和本地AWS CLI存在差异，即便你本地用default profile能正常访问，Bazel可能没正确加载凭证：

• 确保~/.aws/credentials和~/.aws/config文件权限为600（权限过宽会被Bazel拒绝读取）
• 尝试直接通过环境变量传递凭证，替代profile参数：

  AWS_ACCESS_KEY_ID=你的密钥ID AWS_SECRET_ACCESS_KEY=你的密钥 bazel build //my-app --remote_cache=https://s3.region.amazonaws.com/bucket-name --remote_upload_local_results
  

• 避免依赖AWS_PROFILE环境变量+Bazel的aws_profile参数组合，直接用环境变量传递更可靠。

2. 验证S3桶的权限策略 #

你的本地凭证有读写权限，但要确保Bazel需要的具体操作权限都被允许，S3桶策略需包含以下动作：

• s3:GetObject（读取缓存）
• s3:PutObject（上传缓存）
• s3:ListBucket（枚举缓存对象）
• s3:GetBucketLocation（获取桶区域）
  示例桶策略片段：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::你的账号ID:user/你的用户名"},
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:ListBucket",
        "s3:GetBucketLocation"
      ],
      "Resource": [
        "arn:aws:s3:::bucket-name",
        "arn:aws:s3:::bucket-name/*"
      ]
    }
  ]
}

3. 修正Bazel的远程缓存参数格式 #

你当前的--remote_cache参数格式可能不被部分AWS区域或桶配置支持，推荐两种正确格式：

• 虚拟主机格式：

  bazel build //my-app --remote_cache=https://bucket-name.s3.region.amazonaws.com --remote_upload_local_results --remote_default_exec_properties=aws_profile=default
  

• s3://协议格式：

  bazel build //my-app --remote_cache=s3://bucket-name --remote_upload_local_results --remote_default_exec_properties=aws_profile=default
  

4. 检查Bazel版本与兼容设置 #

• 若使用较老版本的Bazel，可能存在S3凭证解析bug，升级到最新稳定版尝试
• 如果是使用S3兼容存储（非AWS原生S3），需添加额外参数：

  bazel build //my-app --remote_cache=s3://bucket-name --remote_upload_local_results --s3_endpoint=你的存储端点 --s3_skip_ssl=true --s3_disable_sigv4=true
  

5. 启用调试日志定位根源 #

添加调试参数查看详细请求日志，确认是凭证未传递还是权限不足：

bazel build //my-app --remote_cache=https://bucket-name.s3.region.amazonaws.com --remote_upload_local_results --remote_default_exec_properties=aws_profile=default --verbose_failures --logging=6

从日志中可查看AWS请求签名、凭证信息，精准定位问题。

内容的提问来源于stack exchange，提问作者Joseph Stanley