如何安全授权第三方开发者向AWS staging存储桶上传文件？

方案1：IAM角色+临时安全凭证（推荐） #

这是最安全的方式，完全避免共享长期密钥：

• 创建一个最小权限的IAM角色，仅允许向staging桶执行上传操作（PUT对象），还可按需限制文件前缀、内容类型等。示例权限策略如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::staging/*"
    }
  ]
}

• 配置角色信任关系，允许第三方的AWS账号（或特定IAM用户）扮演该角色；若对方无AWS账号，可通过外部身份提供商（如OAuth2）完成认证。
• 第三方通过AWS STS的AssumeRole API获取临时安全凭证（Access Key、Secret Key、Session Token），凭证有有效期（最长12小时），到期自动失效，用这些临时凭证即可调用S3 API完成上传。

方案2：预签名URL（适合单次/特定文件上传） #

如果仅需让第三方上传特定文件，预签名URL是更轻量的选择：

• 用你的AWS凭证生成带权限的预签名URL，指定允许的操作（putObject）、目标桶staging、文件名，以及有效期（比如1小时）。
• 把URL发给第三方，他们无需任何AWS凭证，直接用HTTP PUT请求将文件上传到该URL即可。
• 示例（Python boto3生成）：

import boto3
s3 = boto3.client('s3')
url = s3.generate_presigned_url(
    ClientMethod='put_object',
    Params={'Bucket': 'staging', 'Key': 'user-uploads/example.jpg'},
    ExpiresIn=3600  # 有效期1小时
)

• 可通过限制文件大小、内容类型等参数进一步缩小权限范围。

方案3：专用IAM用户（备选，需严格控制权限） #

如果前两种方式对第三方来说复杂度较高，可创建仅拥有staging桶上传权限的专用IAM用户：

• 给该用户附加和方案1一致的最小权限策略，禁止访问任何其他AWS服务。
• 生成该用户的访问密钥后发给第三方，同时提醒其妥善保管，并定期轮换密钥。
• 注意：这种方式存在长期密钥泄露风险，仅在万不得已时使用，且必须开启IAM用户的密钥轮换和访问日志监控。

内容的提问来源于stack exchange，提问作者AJW