AWS MediaConvert任务S3写入权限拒绝问题排查求助

错误信息 #

Unable to write to output file [s3://{path to my output bucket}/file_example_MP4_480_1_5MGhls_264_00001.ts]: [Failed to write data: Access Denied]

排查步骤 #

1. S3存储桶权限验证 #

• 确认MediaConvert关联的IAM策略包含目标S3桶的PutObject、PutObjectAcl权限，资源范围需覆盖桶内所有对象（例如s3://{你的输出桶名}/*）
• 检查S3桶策略，确保未添加拒绝MediaConvert角色写入的规则，同时允许加密相关的对象写入操作
• 核实S3桶的访问控制列表（ACL）未限制MediaConvert角色的写入权限

2. KMS密钥权限配置检查 #

由于启用了服务器端加密，需同步验证KMS相关权限：

• 确保MediaConvert角色的IAM策略包含kms:GenerateDataKey和kms:Decrypt权限，资源为任务使用的KMS密钥ARN
• 检查KMS密钥的密钥策略，已将MediaConvert角色添加为授权主体，允许其执行GenerateDataKey和Decrypt操作
• 若使用AWS托管KMS密钥，需确认角色权限覆盖该密钥；自定义密钥需确保策略无权限遗漏

3. IAM角色信任关系验证 #

• 确认MediaConvert使用的IAM角色信任策略允许mediaconvert.amazonaws.com作为可信实体，确保服务能正常Assume该角色
• 标准信任策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "mediaconvert.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

4. 其他细节排查 #

• 核对输出S3路径的拼写准确性，注意对象路径大小写敏感
• 确认任务配置中指定的KMS密钥ARN格式正确，无字符错误
• 若使用VPC端点，需检查端点策略允许MediaConvert访问S3和KMS服务

内容的提问来源于stack exchange，提问作者kumar