跨账号S3文件传输后文件无法访问问题修复咨询

问题核心：跨账号上传至S3的文件默认归上传方（accountA）所有，因此accountB的主体无法直接访问，可通过以下方式修正：

方案1：上传时指定桶所有者完全控制ACL #

在上传文件时添加bucket-owner-full-control ACL参数，强制将对象的完全控制权赋予桶所有者（accountB），同时保留上传方的权限：

• AWS CLI命令示例：

aws s3 cp /local/path/file.txt s3://bucketName/target/path/file.txt --acl bucket-owner-full-control

• Python boto3 SDK示例：

import boto3
s3 = boto3.client('s3')
s3.put_object(
    Bucket='bucketName',
    Key='target/path/file.txt',
    Body=open('/local/path/file.txt', 'rb'),
    ACL='bucket-owner-full-control'
)

方案2：开启桶的「桶所有者强制」模式（推荐长期方案） #

在accountB的目标桶中开启对象所有权的「桶所有者强制」设置，所有上传至该桶的对象会自动归桶所有者所有，无需上传方修改上传逻辑：

1. 登录AWS控制台，进入目标S3桶的「权限」标签页
2. 找到「对象所有权」配置项，选择「桶所有者强制」
3. 保存配置

开启后，任何跨账号上传的对象都会直接归accountB所有，accountB的合法主体可直接访问。

方案3：事后修改已上传对象的权限（应急补救） #

针对已上传的文件，可通过accountA的权限为accountB添加访问权限：

• AWS CLI命令示例（授予accountB根用户完全控制权）：

aws s3api put-object-acl \
    --bucket bucketName \
    --key target/path/file.txt \
    --grant-full-control id=ACCOUNT_B_ROOT_USER_ID

• 或在S3控制台中，由accountA的用户找到对应对象，修改权限并添加accountB的IAM主体（账号/角色）的访问权限。

额外验证项 #

• 确认accountB中需要访问文件的IAM主体（用户/角色）拥有s3:GetObject等必要操作的权限
• 检查accountB的桶策略是否存在拒绝类语句，避免覆盖允许权限

内容的提问来源于stack exchange，提问作者hsnsd