.NET Core 上传文件到AWS S3遇Access Denied问题求助

针对你用临时STS凭证上传S3时遇到的Amazon.S3.AmazonS3Exception: Access Denied错误，按以下步骤排查：

1. 检查临时凭证的基础权限 #

你通过aws sts get-session-token生成的临时凭证，权限完全继承自生成它的原IAM用户。所以首先要确认原IAM用户拥有目标S3桶的PutObject权限：

• 给原IAM用户附加类似这样的权限策略：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "s3:PutObject",
              "Resource": "arn:aws:s3:::你的桶名称/*"
          }
      ]
  }
  

  注意资源路径要精确到桶下的对象（/*），只写桶ARN（arn:aws:s3:::你的桶名称）是不够的，因为PutObject是针对对象的操作。

2. 排查S3桶的Bucket Policy #

即使IAM用户有权限，桶的自定义策略可能会拒绝访问：

• 登录AWS控制台进入S3桶的「权限」→「桶策略」页面，检查是否存在Deny语句阻止了PutObject操作；
• 如果桶是私有桶，默认允许桶所有者访问，但如果有自定义策略，需确保包含允许原IAM用户执行PutObject的规则。

3. 验证临时凭证的有效性 #

• 确认aws sts get-session-token生成的凭证未过期（你设置的有效期是36小时，检查当前时间是否在范围内）；
• 核对代码中填入的access key id、secret access key、session token是否完全正确，避免拼写错误、多余空格或复制不完整。

4. 确认区域匹配 #

代码中指定的区域是RegionEndpoint.APSoutheast2（悉尼），要确保你的S3桶确实创建在该区域，跨区域操作可能引发权限或访问问题。

5. 额外权限检查（如果有特殊需求） #

如果上传时需要设置对象ACL（比如公开可读），还需给原IAM用户附加s3:PutObjectAcl权限；若只是私有上传，仅PutObject权限即可。

代码优化建议 #

不要硬编码凭证到代码中，推荐使用AWS SDK的默认凭证链（优先级：环境变量 → IAM角色（如果部署在AWS服务上） → 本地~/.aws/credentials文件），这样更安全且不易出错。修改后的客户端初始化代码可以简化为：

var client = new AmazonS3Client(RegionEndpoint.APSoutheast2);

内容的提问来源于stack exchange，提问作者Frank