MinIO配置特定Bucket专属读写用户时遭遇AccessDenied错误的问题咨询

你遇到的访问拒绝问题核心是用户策略的资源范围不完整，导致对象级操作（比如上传文件）没有被授权。让我一步步帮你排查和修复：

1. 问题根源：资源配置缺少对象层级权限 #

你当前的策略只授权了对test Bucket本身的操作，但putObject这类上传操作是针对Bucket内的具体对象（比如test/your-uploaded-file.png），原策略的资源路径没有覆盖这一层级。

你的原策略：

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:*" ], "Resource": [ "arn:aws:s3:::test" ] } ] }

这里的arn:aws:s3:::test仅覆盖Bucket级别的操作（比如创建/删除Bucket），但不包含Bucket内对象的读写权限。

2. 修正后的用户策略 #

更新策略，同时添加Bucket本身和Bucket内所有对象的资源路径，确保覆盖所有需要的操作：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketLocation",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::test"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": [
        "arn:aws:s3:::test/*"
      ]
    }
  ]
}

说明：

• 拆分Bucket级和对象级权限，遵循最小权限原则（你也可以保留s3:*，但精准授权更安全）
• GetBucketLocation和ListBucket是读写对象时可能依赖的辅助Bucket权限
• test/*覆盖Bucket内所有对象的读写操作

3. 确认Bucket访问策略设置 #

你把Bucket设为Private是正确的，这意味着只有通过用户权限策略授权的账号才能访问，不会和用户策略冲突。

4. 代码层面的优化建议 #

你的Node.js代码存在回调嵌套的小问题，改用async/await处理异步流程会更稳妥，也便于错误捕获：

const uploadFileStream = async (file) => { 
  try {
    const fileStat = await fs.promises.stat(file.path);
    const fileStream = fs.createReadStream(file.path); 
    await minioClient.putObject(MINIO.BUCKET_NAME, file.originalname, fileStream, fileStat.size, file.mimetype);
    console.log("Successfully uploaded the stream");
  } catch (e) {
    console.error("Upload failed:", e);
  }
}

5. 验证步骤 #

• 重新保存修改后的用户策略
• 确认使用的accessKey和secretKey属于目标用户的服务账号
• 再次调用上传接口测试

这样配置后，该用户就只能对test Bucket进行读写操作，无法访问其他Bucket了。

内容的提问来源于stack exchange，提问作者Florentinus Kevin