AWS S3 PrivateLink无法通过aws-cli或boto3访问问题求助

核心误区纠正 #

• S3私有访问点不需要手动指定endpoint_url，这是最容易踩的坑。私有访问点依赖VPC内的DNS自动解析路由，而非传统的endpoint覆盖方式。
• 三种访问地址的正确用途：
  • ARN格式：仅用于IAM权限策略中指定允许访问的私有访问点，不能直接作为访问地址使用
  • s3://格式URI：直接当作存储桶路径使用，无需额外配置endpoint参数
  • 唯一域名地址：用于API调用场景，但无需手动设置为endpoint，SDK会自动解析该域名的VPC内路由

正确配置与操作步骤 #

1. IAM权限配置 #

确保IAM实体（用户/角色）的权限策略包含私有访问点的资源声明，示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::your-bucket-name",
                "arn:aws:s3:::your-bucket-name/*",
                "arn:aws:s3:region:account-id:accesspoint/your-accesspoint-name"
            ]
        }
    ]
}

2. VPC基础配置检查 #

• 私有访问点所在VPC必须开启DNS支持：enableDnsSupport和enableDnsHostnames需设为true
• 私有访问点的安全组必须允许客户端所在VPC/子网的HTTPS（443端口）流量
• 客户端子网路由表无需额外配置网关/接口端点，私有访问点的DNS会自动完成VPC内路由

3. AWS CLI正确用法 #

不要加--endpoint-url参数，直接使用私有访问点的s3://URI：

# 列取私有访问点对应存储桶内容
aws s3 ls s3://your-bucket-name--vpce-1234567890abcdef0
# 上传文件
aws s3 cp local-file.txt s3://your-bucket-name--vpce-1234567890abcdef0/remote-path/

4. Boto3正确用法 #

无需设置endpoint_url，直接将私有访问点域名作为Bucket参数传入：

import boto3

s3_client = boto3.client('s3')
# 列取存储桶对象
response = s3_client.list_objects_v2(Bucket='your-bucket-name--vpce-1234567890abcdef0')
# 上传文件
s3_client.upload_file('local-file.txt', 'your-bucket-name--vpce-1234567890abcdef0', 'remote-path/file.txt')

额外排查点 #

• 确认客户端处于私有访问点所在VPC内，或通过VPN/Direct Connect连接到该VPC（需确保VPN的DNS配置能解析私有访问点域名）
• 检查存储桶策略，是否允许来自私有访问点的请求，示例存储桶策略：

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::your-bucket-name",
                "arn:aws:s3:::your-bucket-name/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:DataAccessPointAccount": "your-account-id",
                    "s3:DataAccessPointArn": "arn:aws:s3:region:account-id:accesspoint/your-accesspoint-name"
                }
            }
        }
    ]
}

内容的提问来源于stack exchange，提问作者Zain Ul Abidin