Go语言用AWS SDK下载指定VersionId的S3对象遇权限拒绝

我在S3存储了一个开启多版本的对象，想用Go语言通过AWS SDK下载该对象的指定版本。目前不指定VersionId时可以正常下载最新版本，但添加VersionId参数后就出现访问拒绝错误。

可正常运行的代码： #

sess, err := session.NewSession(&aws.Config{
    Region: aws.String(AWSRegion),
})
if err != nil {
    fmt.Println("Error creating session:", err)
    return nil, err
}

// 创建S3服务客户端
svc := s3.New(sess)

// 下载对象
resp, err := svc.GetObject(&s3.GetObjectInput{
    Bucket: aws.String(AWSBucketName),
    Key:    aws.String(objKeyPath),
})

if err != nil {
    fmt.Println("Error downloading object:", err)
    return nil, err
}

respBytes, _ := io.ReadAll(resp.Body)

添加VersionId后报错的代码： #

sess, err := session.NewSession(&aws.Config{
    Region: aws.String(AWSRegion),
})
if err != nil {
    fmt.Println("Error creating session:", err)
    return nil, err
}

// 创建S3服务客户端
svc := s3.New(sess)

// 下载对象
resp, err := svc.GetObject(&s3.GetObjectInput{
    Bucket: aws.String(AWSBucketName),
    Key:    aws.String(objKeyPath),
    VersionId: aws.String(versionId),
})

if err != nil {
    fmt.Println("Error downloading object:", err)
    return nil, err
}

respBytes, _ := io.ReadAll(resp.Body)

问题排查与解决 #

出现这个问题的核心原因是当前IAM身份缺少访问S3对象指定版本的权限。虽然下载最新版本只需要s3:GetObject权限，但访问指定版本需要额外的权限配置：

• 补充IAM权限：确保你的IAM用户/角色权限策略中包含s3:GetObjectVersion权限，和原有s3:GetObject权限配合使用。示例策略片段：

  {
      "Effect": "Allow",
      "Action": [
          "s3:GetObject",
          "s3:GetObjectVersion"
      ],
      "Resource": "arn:aws:s3:::你的桶名/*"
  }
  

• 校验VersionId有效性：检查传入的versionId是否正确，可通过S3控制台或ListObjectVersions接口确认该版本是否属于目标对象。

• 确认桶版本状态：确保目标S3桶确实开启了版本控制，若版本控制处于关闭或暂停状态，指定VersionId会触发错误。

• 验证会话身份：确认代码中Session对应的IAM身份，和下载最新版本时使用的身份一致，避免因身份切换导致权限差异。

内容的提问来源于stack exchange，提问作者Tushar Das