配置s3:GetObject权限后ImageKit访问S3报EACCES错如何解决

该报错本质是ImageKit发起的资源读取请求被AWS S3侧拦截，即使已配置s3:GetObject权限，绝大多数情况是以下配置疏漏导致，按优先级逐一排查即可：

• IAM策略资源范围配置错误
  s3:GetObject属于对象级权限，若策略里只配置了桶根ARNarn:aws:s3:::你的桶名，没有补充对象级ARNarn:aws:s3:::你的桶名/*，会导致所有桶内对象的读取请求被拒。配置时还要核对ARN中的桶名、区域、账号ID是否准确，不要出现多字符、漏字符的情况。
• S3桶策略/公共访问拦截规则冲突
  即使关联IAM身份已经拿到s3:GetObject授权，如果S3桶自身的Bucket Policy存在显式Deny规则匹配到该IAM身份，或者桶开启了Block Public Access但未将对接用的IAM身份加入放行范围，同样会返回访问拒绝。还要同步检查桶ACL、对象ACL是否存在针对该身份的读权限限制。
• KMS加密权限缺失
  如果存储桶默认使用客户自管理KMS密钥（CMK）加密存储对象，仅配置s3:GetObject不足以完成访问，还需要在对应KMS密钥的权限策略中，给对接用的IAM身份授予kms:Decrypt权限，否则S3无法解密对象返回内容，会直接抛出访问拒绝错误。
• ImageKit侧对接参数配置错误
  核对ImageKit控制台填写的S3配置信息：桶名、所在区域、AK/SK（若使用密钥对对接）是否准确；如果是用IAM角色跨账号对接，要确认角色的信任策略已正确放行ImageKit服务的代入请求，外部ID、条件限制项没有配置错误。
• 对象路径或版本异常
  确认访问的对象在S3中真实存在，路径大小写完全匹配（S3路径区分大小写）；如果桶开启了多版本控制，要确认访问的对象版本没有被删除标记覆盖。

快速定位问题的验证方法：用对接ImageKit的IAM身份对应的凭证，在本地通过AWS CLI执行aws s3 cp s3://你的桶名/测试图片路径 ./本地测试保存路径，如果本地都无法拉取文件，说明问题完全出在AWS侧权限配置，和ImageKit无关；如果本地可以正常拉取，直接回到ImageKit控制台核对所有对接参数即可。

内容的提问来源于stack exchange，提问作者Jay Hu