运行AWS Cognito Java桌面应用时遇S3 Access Denied错误求助

从你提供的错误日志、控制台输出和代码来看，这个Access Denied（403错误）主要出现在调用s3Client.listBuckets()时，核心原因大概率是临时凭证关联的IAM角色没有足够的S3权限，也可能是区域配置或凭证有效性问题，具体拆解：

1. IAM角色权限缺失：
   你通过Cognito获取的临时凭证是关联到某个IAM角色的（Authenticated或Unauthenticated角色，取决于你的用户身份），这个角色的权限策略里没有允许s3:ListAllMyBuckets操作——这是列出所有S3桶必须的权限。

2. 区域配置错误：
   代码中REGION变量如果设置了无效的AWS区域，或者和你的资源所在区域不匹配（虽然listBuckets是全局操作，但AWS客户端必须指定一个有效的区域才能正常发起请求），也可能导致权限验证失败。

3. 临时凭证有效性（可能性较低）：
   虽然控制台输出了凭证信息，但如果凭证已经过期（比如获取后太久才使用），也会触发403错误，但从你的调用流程看，这个概率比较小。

针对上述原因，按优先级依次排查修复：

1. 补充IAM角色的S3权限 #

这是最常见的解决方式，步骤如下：

• 登录AWS控制台，进入IAM服务，找到你的Cognito身份池关联的IAM角色（通常命名类似Cognito_<身份池名称>Auth_Role或Cognito_<身份池名称>Unauth_Role）。
• 编辑该角色的权限策略，添加一条允许s3:ListAllMyBuckets的语句，示例策略如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": "*"
        }
    ]
}

• 如果后续还需要访问桶内的对象或执行其他S3操作，可以在策略中添加对应的权限（比如s3:ListBucket、s3:GetObject等）。

2. 验证代码中的区域配置 #

检查代码中REGION常量的值是否为有效的AWS区域（比如us-east-1、eu-west-1等），确保没有拼写错误或使用了已废弃的区域代码。

3. 测试临时凭证的有效性 #

用AWS CLI直接测试你的临时凭证是否能执行list-buckets操作，排除代码配置问题：

aws s3api list-buckets \
--access-key ASIA2IPIEEKPEGGO3EW2 \
--secret-key 25FIoW9eJPczpWKCyaaKHw2Iq+xhM3SdzxAsrslh \
--session-token "<你的完整会话令牌>" \
--region "<你的代码中使用的区域>"

如果CLI返回同样的403错误，说明确实是权限问题；如果CLI能成功列出桶，那需要检查代码中客户端的构建逻辑是否有遗漏（比如是否意外覆盖了权限配置）。

4. 检查桶策略（可选） #

虽然listBuckets操作主要受IAM角色权限控制，但如果你的桶有严格的桶策略限制（比如拒绝所有非特定IP的请求），也可能影响结果。可以暂时移除桶策略测试，如果问题解决，再调整桶策略的规则。

内容的提问来源于stack exchange，提问作者daniel