如何通过API获取私有AWS S3存储桶的区域信息？

问题背景 #

直接调用AWS S3的ListObjectsV2接口时遇到如下错误：

return (<Error>
    <Code>AuthorizationHeaderMalformed</Code>
    <Message>The authorization header is malformed; the region 'us-east-1' is wrong; expecting 'eu-west-2'</Message>
    <Region>eu-west-2</Region>
    <RequestId>3W75CR8BNRQJ13Y6</RequestId>
    <HostId>kYvjGFpckmTBxcq89h3Y+dWmt7UrHJWXlOQyr0k9V2/07NJVDK4dwg2rqAayjOwV1P4Z5bFnvys=</HostId>
</Error>
)

已知该存储桶实际位于eu-west-2，但如果未知私有存储桶的区域，且Sigv4认证必须指定区域才能构造合法请求，同时公开桶的查询方法不适用于私有桶，该如何获取区域信息？

解决方案 #

1. 利用HeadBucket接口的错误响应反推区域 #

即使不知道存储桶区域，你可以先任选一个区域（比如默认的us-east-1）构造HeadBucket请求并带上Sigv4签名：

• 构造请求时，目标主机使用通用S3域名格式：bucket-name.s3.amazonaws.com
• 按照Sigv4规范，用所选区域（如us-east-1）生成认证头

发送请求后，AWS会返回类似你遇到的AuthorizationHeaderMalformed错误响应，其中<Region>字段会明确给出存储桶的实际区域。这个方法对私有桶同样有效，因为只要签名合法（即使区域错误），AWS会在错误信息中返回正确区域。

2. 通过AWS STS获取账户下所有存储桶及区域（可选） #

如果你有权限调用ListBuckets接口，先调用该接口获取账户下所有存储桶名称，再对每个桶调用GetBucketLocation接口获取区域。不过GetBucketLocation同样需要指定区域，但同样可以用上述错误反推的方式先获取区域，再发起正确的GetBucketLocation请求。

注意事项 #

• 确保你的IAM用户/角色拥有对目标存储桶的s3:ListBucket或s3:HeadBucket权限，否则会返回AccessDenied错误，无法获取区域信息。
• 构造Sigv4签名时，即使区域错误，签名本身必须符合规范（使用正确的密钥、日期、服务等），否则会返回SignatureDoesNotMatch错误，不会返回正确区域。

内容的提问来源于stack exchange，提问作者Philip Couling