MinIO Go SDK对接AWS EKS服务账户访问S3遇权限拒绝问题

核心原因 #

AWS SDK for Go会自动适配EKS环境的凭证获取流程（包括IRSA或Pod Identity的元数据端点），但MinIO SDK默认配置是针对MinIO服务器的，需要显式配置AWS兼容的签名规则、区域和凭证提供者，否则会触发鉴权失败。

解决方案 #

1. 配置AWS S3专属端点与区域 #

AWS S3的端点格式为s3.<region>.amazonaws.com，必须指定对应存储桶所在的区域，不能使用MinIO默认端点。

2. 启用AWS签名版本4 #

显式开启MinIO SDK的AWS S3兼容签名模式，确保签名逻辑和AWS SDK匹配。

3. 复用EKS默认凭证链 #

使用MinIO提供的AWS凭证提供者，让SDK自动从EKS Pod绑定的IAM角色中获取凭证，和AWS SDK的凭证获取逻辑保持一致。

修正后的MinIO列桶代码 #

package main

import (
	"context"
	"fmt"
	"log"

	"github.com/minio/minio-go/v7"
	"github.com/minio/minio-go/v7/pkg/credentials"
)

func main() {
	// 替换为你的AWS区域
	region := "us-east-1"
	endpoint := fmt.Sprintf("s3.%s.amazonaws.com", region)

	// 初始化AWS凭证提供者，自动读取EKS Pod的IAM角色凭证
	creds := credentials.NewAWSCredentialsProvider(&credentials.AWSCredentialsOptions{
		Region: region,
	})

	// 创建MinIO客户端，配置AWS S3兼容参数
	client, err := minio.New(endpoint, &minio.Options{
		Creds:              creds,
		Region:             region,
		Secure:             true,
		S3ForcePathStyle:   false, // AWS S3使用虚拟主机样式，必须关闭路径样式
	})
	if err != nil {
		log.Fatalln(err)
	}

	// 列出所有存储桶
	buckets, err := client.ListBuckets(context.Background())
	if err != nil {
		log.Fatalln(err)
	}

	fmt.Println("Available Buckets:")
	for _, b := range buckets {
		fmt.Printf("- %s (Created: %s)\n", b.Name, b.CreationDate.Format("2006-01-02"))
	}
}

关键配置说明 #

• S3ForcePathStyle: false：AWS S3默认采用虚拟主机访问样式（bucket.s3.region.amazonaws.com），MinIO默认启用路径样式，必须关闭才能兼容AWS S3。
• credentials.NewAWSCredentialsProvider：该提供者会自动读取EKS Pod中的IAM角色凭证（通过元数据服务或IRSA注入的环境变量），和AWS SDK的凭证链逻辑完全一致。
• 必须指定Region：AWS签名版本4依赖区域信息，未指定会导致签名无效，触发Access Denied。

权限验证（可选） #

尽管AWS SDK能正常运行，仍可确认EKS服务账户绑定的IAM角色是否包含s3:ListAllMyBuckets权限，示例策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": "*"
        }
    ]
}

内容的提问来源于stack exchange，提问作者right