如何配置S3 Bucket权限仅允许同账号Lambda访问音频文件？

核心误区说明 #

你之前的操作只给Lambda执行角色加了S3权限，但Alexa播放音频时，是亚马逊的Alexa媒体服务发起请求拉取S3文件，并非Lambda函数直接访问——这就是直接返回S3 URI会报错的原因。下面是两种可行的解决方案：

方案一：使用S3预签名URL（推荐，安全性更高） #

生成带有效期的预签名URL返回给Alexa，只有持有该URL的请求才能访问私有S3文件，无需修改Bucket的公开权限。

步骤1：确保Lambda执行角色有正确权限 #

给Lambda的执行角色添加内联策略，允许对目标Bucket的s3:GetObject权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::your-bucket-name/*"
        }
    ]
}

步骤2：在.NET Lambda代码中生成预签名URL #

使用AWS SDK for .NET生成预签名URL，替换直接返回的S3 URI：

using Amazon.S3;
using Amazon.S3.Model;

// 初始化S3客户端（Lambda执行角色会自动提供凭证）
var s3Client = new AmazonS3Client();

// 生成预签名URL，设置有效期（示例为5分钟）
var preSignedRequest = new GetPreSignedUrlRequest
{
    BucketName = "your-bucket-name",
    Key = "audio-files/your-audio.mp3", // 替换为你的文件路径
    Expires = DateTime.UtcNow.AddMinutes(5)
};
string audioUrl = s3Client.GetPreSignedURL(preSignedRequest);

// 将audioUrl作为音频URI返回给Alexa Skill

方案二：配置S3 Bucket策略允许Alexa媒体服务访问 #

如果不想使用预签名URL，可直接配置Bucket策略，允许Alexa的媒体服务访问，但需通过条件限制仅你的账号和Lambda触发的请求能访问：

示例Bucket策略 #

替换其中的占位符（账号ID、区域、Bucket名、Lambda函数名）：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "alexa-media-service.amazonaws.com"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::your-bucket-name/*",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceAccount": "123456789012" // 你的AWS账号ID
                },
                "ArnLike": {
                    "AWS:SourceArn": "arn:aws:lambda:us-east-1:123456789012:function:your-alexa-skill-lambda" // 你的Lambda函数ARN
                }
            }
        }
    ]
}

额外检查项 #

• 确保S3 Bucket的阻止公共访问设置未完全禁止授权访问（可保留"阻止新的公共访问权限"开启，只要Bucket策略是合法的授权规则）
• 确认Alexa Skill返回的音频URI是正确的S3 HTTPS格式（例如https://your-bucket-name.s3.us-east-1.amazonaws.com/audio.mp3）

参考要点（翻译自AWS官方知识中心内容） #

1. Lambda执行角色的权限用于Lambda自身发起的S3请求，而第三方服务（如Alexa媒体服务）的请求需通过Bucket策略授权
2. 避免混淆IAM角色权限与Bucket策略：两者共同决定访问权限，需确保权限逻辑一致
3. 始终遵循最小权限原则，仅授予必要的操作（如s3:GetObject而非全S3权限），并通过资源ARN和条件限制访问范围

内容的提问来源于stack exchange，提问作者Felipe Bergmann