在AWS S3中设置保留期：curl脚本执行异常问题咨询

问题背景 #

通过Shell脚本的curl请求为AWS S3存储桶设置对象锁保留期时遇到两个问题：

• 第一个请求无标准输出，仅在标准错误输出显示传输进度，无法确认是否执行成功
• 第二个请求返回MethodNotAllowed错误

第一个curl请求及输出 #

请求脚本：

curl -k -X PUT $ENDPOINT -H "Content-Type: application/xml" -H "Accept: application/xml" -d "<Request><Login>${ACCESS_KEY_ID}</Login><Password>${SECRET_ACCESS_KEY}</Password></Request><ObjectLockConfiguration><ObjectLockEnabled>Enabled</ObjectLockEnabled><Rule><DefaultRetention><Mode>COMPLIANCE</Mode><Years>${RETYEARS}</Years></DefaultRetention></Rule></ObjectLockConfiguration>"

标准错误输出：

% Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
100   285    0     0  100   285      0  33348 --:--:-- --:--:-- --:--:-- 35625

第二个curl请求及输出 #

请求脚本：

curl -k -X PUT $ENDPOINT -H "Date: `date`" -H "Content-Type: application/xml" -H "Accept: application/xml" -H "Authorization: ${ACCESS_KEY_ID}:${SECRET_ACCESS_KEY}" -d "<ObjectLockConfiguration><ObjectLockEnabled>Enabled</ObjectLockEnabled><Rule><DefaultRetention><Mode>COMPLIANCE</Mode><Years>${RETYEARS}</Years></DefaultRetention></Rule></ObjectLockConfiguration>"

标准输出：

<?xml version="1.0" encoding="UTF-8"?>
<Error><Code>MethodNotAllowed</Code>
<Message>The specified method is not allowed against this resource.</Message>
<Resource>/</Resource><RequestId>1669626042508238</RequestId></Error>

标准错误输出：

% Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
100   407  100   221  100   186    488    410 --:--:-- --:--:-- --:--:--   487

问题分析 #

第一个请求无效的原因 #

第一个请求将身份验证信息嵌入请求体的<Request>标签中，这完全不符合AWS S3的API规范。S3不会通过这种方式验证用户身份，因此该请求不会被S3正确处理，即便curl显示传输完成，实际也没有完成任何配置操作。

第二个请求返回MethodNotAllowed的原因 #

1. 端点路径错误：设置对象锁的请求必须指向具体存储桶的端点（如https://bucket-name.s3.region.amazonaws.com/），而非S3服务的根路径。如果$ENDPOINT是根域名，会导致资源路径识别错误。
2. 身份验证方式错误：S3的Authorization头要求使用AWS签名版本4（SigV4）生成的签名，而非直接拼接AccessKey:SecretKey。这种错误的验证方式会被S3拒绝，进而返回误导性的MethodNotAllowed错误。
3. 前置条件缺失：存储桶必须先启用版本控制，才能配置对象锁。如果存储桶未开启版本控制，PUT对象锁配置的请求会被直接拒绝。

正确的配置方法 #

1. 先启用存储桶版本控制 #

推荐使用AWS CLI执行，步骤简单：

aws s3api put-bucket-versioning --bucket your-bucket-name --versioning-configuration Status=Enabled

2. 配置对象锁保留期 #

同样推荐用AWS CLI，比手动写curl更可靠：

aws s3api put-bucket-object-lock-configuration \
  --bucket your-bucket-name \
  --object-lock-configuration '{
    "ObjectLockEnabled": "Enabled",
    "Rule": {
      "DefaultRetention": {
        "Mode": "COMPLIANCE",
        "Years": '$RETYEARS'
      }
    }
  }'

如果必须使用curl，需要严格按照SigV4规范生成签名头，过程较为繁琐，不建议手动实现。

确认配置成功的方式 #

1. 查询存储桶对象锁配置
   用AWS CLI直接获取配置：

aws s3api get-bucket-object-lock-configuration --bucket your-bucket-name

返回包含ObjectLockConfiguration的JSON结构，即为配置成功。

2. 测试对象保留效果
   上传测试文件后尝试删除：

aws s3 cp test.txt s3://your-bucket-name/
aws s3 rm s3://your-bucket-name/test.txt

若启用了COMPLIANCE模式，删除操作会返回错误，提示对象处于合规保留期无法删除，说明配置生效。

内容的提问来源于stack exchange，提问作者Anders