AWS S3新桶生成pre-signed URL返回Signature mismatch错误排查

问题排查与解决方法 #

• 首先确认生成预签名URL的IAM身份是否拥有新桶内KMS加密对象对应的KMS密钥的kms:Decrypt权限：对于SSE-KMS加密的S3对象，访问预签名URL时除了需要S3桶的读权限外，还需要对应KMS密钥的解密权限。你已经确认该IAM用户有两个桶的读写权限，但可能没有授予对应新桶所用KMS密钥的解密权限，补充该权限即可解决问题。
• 若补充权限后仍存在问题，可检查新桶是否开启了强制路径式访问端点配置，确认生成预签名URL时使用的S3客户端区域与新桶实际所在区域完全一致，避免区域不匹配导致的签名计算错误。

内容的提问来源于stack exchange，提问作者user3583807