非AWS环境服务如何获取S3的程序化临时授权访问？

要让外部运行的my-service获得用户授权的S3访问权限，你可以结合AWS的OAuth2授权机制与STS（Security Token Service）来实现，以下是具体落地步骤：

1. 用户侧配置IAM角色（核心权限控制） #

每个使用my-service的用户需要在自己的AWS账号中完成以下配置：

• 创建一个IAM角色，用于my-service扮演以访问S3资源：
  • 信任策略：允许经过AWS OAuth授权的my-service客户端扮演该角色。示例信任策略（替换YOUR_CLIENT_ID为你注册的OAuth客户端ID、AWS_ACCOUNT_ID为用户的AWS账号ID）：

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Federated": "arn:aws:iam::AWS_ACCOUNT_ID:oidc-provider/oidc.aws.amazon.com/id/OIDC_PROVIDER_ID"
          },
          "Action": "sts:AssumeRoleWithWebIdentity",
          "Condition": {
            "StringEquals": {
              "oidc.aws.amazon.com/id/OIDC_PROVIDER_ID:sub": "YOUR_CLIENT_ID"
            }
          }
        }
      ]
    }
    

  • 权限策略：给角色附加最小权限，仅允许my-service执行必要的S3操作（比如获取文件属性、读取对象元数据）。示例权限策略（替换YOUR_BUCKET_NAME为用户的S3桶名）：

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "s3:GetObjectAttributes",
            "s3:ListBucket",
            "s3:GetObject"
          ],
          "Resource": [
            "arn:aws:s3:::YOUR_BUCKET_NAME",
            "arn:aws:s3:::YOUR_BUCKET_NAME/*"
          ]
        }
      ]
    }
    

• 记录该角色的ARN，后续授权流程会用到。

2. 注册my-service为AWS OAuth客户端 #

你需要在AWS中完成my-service的OAuth客户端注册：

• 推荐使用AWS IAM Identity Center：
  1. 在Identity Center控制台创建自定义应用集成，选择OAuth 2.0协议。
  2. 配置my-service接收授权回调的重定向URI，获取客户端ID和客户端密钥。
• 若用户未使用Identity Center，可通过IAM OIDC身份提供商注册：
  1. 在IAM控制台创建OIDC身份提供商，指向AWS官方OIDC端点。
  2. 创建IAM OAuth客户端并关联该身份提供商。

3. 实现授权流程（my-service侧） #

引导用户完成授权，获取临时访问凭证：

• 步骤1：my-service生成授权URL，引导用户跳转至AWS授权页面，核心参数包括：
  • client_id：你的OAuth客户端ID
  • redirect_uri：回调地址
  • response_type：code（授权码模式）
  • scope：aws-portal:role=ROLE_ARN（替换为用户创建的IAM角色ARN）
• 步骤2：用户登录自己的AWS账号，同意授权后，AWS会重定向到my-service的回调地址，附带authorization_code。
• 步骤3：my-service使用授权码、客户端ID、客户端密钥，向AWS令牌端点请求获取ID令牌。
• 步骤4：用获取到的ID令牌调用STS的AssumeRoleWithWebIdentity API，传入用户的IAM角色ARN，获取临时访问凭证（AccessKeyId、SecretAccessKey、SessionToken）。

4. 使用临时凭证访问S3 #

拿到临时凭证后，my-service可以程序化访问S3：

• 在AWS SDK中配置这些临时凭证，执行所需操作（比如调用GetObjectAttributes获取文件属性）。
• 临时凭证有过期时间（调用AssumeRoleWithWebIdentity时可指定，最长12小时），过期前需重新发起授权流程刷新凭证。

替代方案：手动生成临时凭证（低交互场景） #

如果用户接受手动操作，也可以让用户直接通过AWS CLI生成临时凭证：

• 用户执行命令：aws sts assume-role --role-arn ROLE_ARN --role-session-name my-service-session，生成临时凭证后提供给my-service。
• 该方式缺乏自动化授权流程，适合测试或小范围用户使用。

内容的提问来源于stack exchange，提问作者Jordi