AWS Lambda调用S3 getBucketLogging报Access Denied问题求助

问题描述 #

我在AWS Lambda中尝试获取S3存储桶的日志配置：先通过S3.listBuckets()枚举存储桶（此步骤执行正常），再通过TypeScript循环遍历桶名调用getBucketLogging接口，但调用时返回AccessDenied错误。

Lambda与存储桶属于同一AWS账户，传入的accountId确认正确（该参数为可选），且通过本地终端CLI调用aws s3api get-bucket-logging --bucket <bucket-name>可正常获取结果，仅Lambda中调用失败。

代码片段 #

const bucketNames = await getBucketNames() // <- 执行正常
for (const bucketName of bucketNames) {
    try {
        console.log(`get logging for bucket ${bucketName}`) // <- 能输出此日志
        const bucketLogging: GetBucketLoggingOutput = await s3.getBucketLogging({
            Bucket: bucketName,
            ExpectedBucketOwner: accountId
        }).promise()

        // 检查日志配置并按需调整
    } catch (error) {
        console.log(JSON.stringify(error))
    }
}

错误信息 #

{
    "message": "Access Denied",
    "code": "AccessDenied",
    "region": null,
    "time": "2022-07-19T11:16:26.671Z",
    "requestId": "****",
    "extendedRequestId": "****",
    "statusCode": 403,
    "retryable": false,
    "retryDelay": 70.19937788683632
}

可能的原因及排查方案 #

• Lambda执行角色缺少s3:GetBucketLogging权限
  listBuckets和getBucketLogging是两个独立的S3权限，即使前者能正常执行，不代表后者权限已配置。检查Lambda执行角色的IAM策略，确保包含允许调用s3:GetBucketLogging的语句，示例策略如下：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "s3:GetBucketLogging",
              "Resource": "arn:aws:s3:::*" // 或指定特定桶的ARN
          }
      ]
  }
  

• 存储桶策略显式拒绝了Lambda角色
  部分存储桶可能配置了桶策略，即使同账户下，如果策略中存在针对Lambda执行角色的Deny语句，会优先于IAM权限生效。登录S3控制台，检查目标桶的桶策略，确认没有限制Lambda角色访问getBucketLogging的规则。

• ExpectedBucketOwner参数的隐性校验问题
  虽然确认accountId正确，但该参数会触发S3的严格所有者校验。尝试移除该参数后重新测试，因为它属于可选参数，部分场景下（如桶由AWS内部服务创建的特殊情况）可能导致意外的权限校验失败。

• Lambda的VPC配置限制
  如果Lambda部署在VPC内，需要确保VPC具备访问S3的能力：

  • 配置S3网关型VPC端点（Gateway Endpoint），确保Lambda所在子网的路由表包含指向该端点的条目；
  • 检查Lambda的安全组和VPC网络ACL，允许出站流量访问S3（或对应的VPC端点）。
    本地CLI不受VPC限制可以正常访问，但Lambda在VPC内未配置好的话，可能会以AccessDenied的形式暴露网络问题。

• 执行角色的权限边界限制
  检查Lambda执行角色是否配置了权限边界（Permission Boundary），权限边界会限制角色能拥有的最大权限，即使IAM策略允许getBucketLogging，如果权限边界未包含该权限，也会导致访问被拒绝。

内容的提问来源于stack exchange，提问作者Abacus