使用Java SDK读取AWS S3 Bucket时遇Access Denied错误求助

可能的原因及解决步骤 #

1. 临时凭证的Session Token未正确加载 #

临时凭证需要三个核心参数：Access Key ID、Secret Access Key、Session Token。EnvironmentVariableCredentialsProvider默认读取以下标准环境变量：

• AWS_ACCESS_KEY_ID
• AWS_SECRET_ACCESS_KEY
• AWS_SESSION_TOKEN

检查方式：
在代码中临时添加测试打印（仅用于排查，生产环境移除），确认Session Token是否正常加载：

EnvironmentVariableCredentialsProvider credProvider = new EnvironmentVariableCredentialsProvider();
AWSCredentials creds = credProvider.getCredentials();
System.out.println("Session Token: " + creds.getSessionToken());

如果输出为null，说明环境变量配置有误：

• 确认AWS_SESSION_TOKEN变量已正确设置，值需与CLI配置文件中的aws_session_token完全一致
• 禁止使用非标准变量名（如SESSION_TOKEN），必须严格遵循AWS环境变量命名规范

2. 客户端未指定正确的区域 #

S3 Bucket是区域化资源，若Java客户端未指定Bucket所在区域，请求会默认发往us-east-1，即使IAM权限配置正确，也会因区域不匹配触发403错误。

解决方式：
构建客户端时指定与CLI profile一致的区域：

// 替换为你的Bucket实际所在区域，例如Regions.AP_SOUTHEAST_1
s3client = AmazonS3ClientBuilder.standard()
                .withCredentials(new EnvironmentVariableCredentialsProvider())
                .withRegion(Regions.US_WEST_2)
                .build();

或通过环境变量AWS_REGION动态获取区域，避免硬编码：

s3client = AmazonS3ClientBuilder.standard()
                .withCredentials(new EnvironmentVariableCredentialsProvider())
                .withRegion(Regions.fromName(System.getenv("AWS_REGION")))
                .build();

3. 验证临时凭证的有效性 #

环境变量中的凭证可能已过期，或与CLI使用的凭证不一致：
验证命令：

# 用环境变量中的凭证调用STS接口，确认身份有效性
aws sts get-caller-identity --access-key $AWS_ACCESS_KEY_ID --secret-key $AWS_SECRET_ACCESS_KEY --session-token $AWS_SESSION_TOKEN

若返回错误，需重新生成临时凭证并更新环境变量。

4. 确认IAM角色权限覆盖ListBucket操作 #

虽然AmazonS3ReadAccess策略默认包含s3:ListBucket权限，但需额外检查：

• 角色未被权限边界限制（进入IAM控制台→目标角色→权限边界，确认是否允许s3:ListBucket操作）
• 自定义策略中明确包含对目标Bucket的List权限：

{
    "Effect": "Allow",
    "Action": "s3:ListBucket",
    "Resource": "arn:aws:s3:::bucket-name"
}

5. 检查Bucket名称一致性 #

确保代码中bucketName变量与CLI命令中的Bucket名称完全一致（注意大小写、特殊字符，S3 Bucket名称不区分大小写，但部分场景下的细微差异仍可能导致权限验证失败）。

内容的提问来源于stack exchange，提问作者Priyanka Chandru