如何解决AWS ECS Fargate任务上传S3桶的权限拒绝问题

失败原因 #

你的Express应用上传PDF时，在PutObjectCommand的参数中指定了Tagging: "public=true"，而AWS S3对对象标签的设置需要单独权限：

• 仅拥有s3:PutObject权限只能完成基础对象上传，当附带标签参数时，必须同时具备**s3:PutObjectTagging**权限才能完成标签写入操作。
• 原策略中未包含该权限，因此触发AccessDenied错误。

正确的最小权限配置 #

修改任务角色附加的策略，在对象级权限中添加s3:PutObjectTagging，同时保留原有的必要操作，遵循最小权限原则：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::development-test"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:PutObjectTagging" // 添加标签操作权限
            ],
            "Resource": "arn:aws:s3:::development-test/*"
        }
    ]
}

额外验证点 #

1. 确认任务角色信任关系中aws:SourceAccount的值为你的AWS账号ID（abc123456abc），确保ECS任务能正确AssumeRole。
2. S3桶未配置拒绝策略（你已确认桶无额外权限配置，此点可忽略）。

内容的提问来源于stack exchange，提问作者Gerardo C.