Terraform配置AWS私有S3端点遇403访问拒绝问题求助

1. 检查VPC端点策略权限 #

确保VPC端点策略允许Terraform使用的IAM身份（EC2实例角色）执行S3相关核心操作，比如列表桶、获取/设置桶策略、读写对象等。示例策略片段：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/EC2-Terraform-Role"
      },
      "Action": [
        "s3:ListAllMyBuckets",
        "s3:GetBucket*",
        "s3:PutBucket*",
        "s3:GetObject*",
        "s3:PutObject*"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

根据实际部署的S3资源调整动作范围，避免过度授权但覆盖Terraform管理所需的全部操作。

2. 修正Terraform AWS Provider配置 #

确保provider正确强制绑定VPC端点，且端点域名无误。示例配置：

provider "aws" {
  region = "us-east-1"

  endpoints {
    # 填写VPC端点的专属DNS名称，可从AWS控制台VPC端点详情页获取
    s3 = "https://vpce-xxxxxx.s3.us-east-1.vpce.amazonaws.com"
  }

  # 依赖EC2实例角色认证，无需硬编码密钥
  assume_role {
    role_arn = "arn:aws:iam::123456789012:role/EC2-Terraform-Role"
  }
}

要点：确认端点域名匹配VPC端点的实际DNS，且provider使用的IAM角色与VPC端点策略授权的角色一致。

3. 调整S3桶策略的来源限制 #

如果S3桶策略设置了访问来源限制，需添加允许VPC端点访问的规则。示例片段：

{
  "Effect": "Allow",
  "Principal": "*",
  "Action": "s3:*",
  "Resource": [
    "arn:aws:s3:::your-target-bucket",
    "arn:aws:s3:::your-target-bucket/*"
  ],
  "Condition": {
    "StringEquals": {
      "aws:sourceVpce": "vpce-xxxxxxxxx"
    }
  }
}

仅允许指定VPC端点的请求访问桶，同时保证Terraform使用的IAM角色已被VPC端点策略授权。

4. 验证EC2实例网络配置 #

• 检查实例所在子网的路由表：确认存在指向VPC端点的路由（目标为S3服务前缀，下一跳为VPC端点ID）
• 检查安全组规则：允许EC2实例向VPC端点发起HTTPS（443端口）请求
• 确认实例未配置代理：避免请求被转发至公网，绕过VPC端点

5. 排查IAM权限边界与SCP限制 #

如果AWS账号启用了服务控制策略（SCP）或IAM权限边界，需确认这些策略未阻止Terraform所需的S3操作，比如s3:ListAllMyBuckets这类基础枚举动作，很多403错误源于全局权限被SCP限制。

6. 测试端点连通性 #

在EC2实例上执行以下命令，验证VPC端点的网络连通性：

curl -v https://vpce-xxxxxx.s3.us-east-1.vpce.amazonaws.com/your-target-bucket

若返回200或权限类403，说明端点连通正常；若出现超时、域名解析失败，优先排查路由表、安全组或DNS配置。

内容的提问来源于stack exchange，提问作者Amir Damirov