如何通过Cognito客户端凭证流授权服务上传对象至S3桶？

直接给结论：可以授权Cognito客户端对应的IAM角色拥有S3桶的上传权限，完全不用单独维护IAM用户的密钥，比你之前考虑的预签名URL方案更高效。

具体实现步骤 #

• 给Cognito客户端绑定IAM角色
  打开Cognito用户池的对应客户端配置，找到身份池角色映射设置，指定一个专门用于S3上传的IAM角色。要确认客户端凭证流（Client Credentials Flow）能正常获取该角色的临时凭证。

• 配置IAM角色的S3权限
  给这个角色添加权限策略，仅允许往目标桶执行上传操作，还可通过条件限制对象前缀（比如仅允许上传到uploads/目录下）来提升安全性。示例策略如下：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "s3:PutObject",
        "Resource": "arn:aws:s3:::你的目标桶名/*",
        // 可选：按需添加，限制上传路径
        "Condition": {
          "StringLike": {
            "s3:prefix": "uploads/*"
          }
        }
      }
    ]
  }
  

• 服务端用临时凭证直接上传
  你的服务通过客户端凭证流获取令牌时，会同步拿到该IAM角色的临时访问密钥、秘密密钥和会话令牌（要么Cognito直接返回，要么调用AWS STS的AssumeRoleWithWebIdentity接口获取）。拿到这些凭证后，直接调用S3的PutObject接口完成上传即可，无需再依赖API Gateway生成预签名URL。

该方案的优势 #

• 减少一次API Gateway调用开销，缩短系统依赖链，批量上传时效率提升更明显
• 服务端自主掌控上传流程，无需等待预签名URL返回，适配对象数量不固定的场景
• 临时凭证自带过期时间，安全性远高于长期IAM密钥

注意事项 #

• 确保仅你的服务器端应用能获取Cognito客户端的凭证，避免泄露
• IAM权限遵循最小权限原则，仅授予必要的PutObject操作权限
• 可根据业务需求调整临时凭证的过期时间，平衡安全性与调用频率

内容的提问来源于stack exchange，提问作者David Jacobsen