S3 Inventory Reporting通用故障排查及运行机制咨询

AccessDenied模糊错误的排查流程 #

• 验证目标存储桶权限：
  确认配置Inventory时指定的S3服务角色对目标存储桶拥有s3:PutObject权限，同时目标桶的桶策略未拒绝该角色的写入请求。可通过模拟该角色执行aws s3 cp test.txt s3://<目标桶路径>操作，验证权限是否正常（需使用角色临时凭证）。
• 校验KMS密钥权限：
  若目标存储桶启用KMS加密，需确保服务角色拥有kms:GenerateDataKey和kms:Decrypt权限（对应目标桶的加密密钥），且KMS密钥的密钥策略明确允许该角色访问。
• 排查跨区域/跨账号配置问题：
  若源桶与目标桶分属不同区域或AWS账号，需额外确认：
  • 源桶所在账号的Inventory服务角色具备访问目标桶的权限
  • 目标桶的桶策略已明确授权源桶账号的服务角色执行写入操作
• 通过CloudTrail定位精确错误：
  S3返回的AccessDenied提示通常较为模糊，可在CloudTrail中搜索与该Inventory任务相关的PutObject或KMS操作事件，日志会记录具体的权限缺失项、资源信息，以此定位核心问题。

报表触发与失败重试机制 #

• 手动触发限制：
  S3 Inventory目前不支持手动触发报表生成任务，仅能按照配置时指定的每日（或每周）周期自动执行。
• 失败重试规则：
  当报表任务失败时，S3会自动发起重试，重试间隔为1小时，最多重试3次。若3次重试均失败，任务会终止，不再继续尝试。
• 失败后的处理时机：
  修复权限或配置问题后，无需等待次日，下一个每日周期的任务会自动执行。若需紧急获取报表，只能等待下一个预设的运行时间，或临时创建新的Inventory配置（新配置仍需遵循每日/每周的执行周期）。

内容的提问来源于stack exchange，提问作者Hendrik Wiese