部署至Elastic Beanstalk后上传文件到Amazon S3报Permission denied如何解决

问题根因 #

你遇到的Permission denied错误并非S3访问权限异常，而是Elastic Beanstalk 实例本地文件系统的写入权限问题：你的代码中设置filePath = ""，会直接在应用进程的当前工作目录创建临时文件，而Beanstalk环境下应用运行用户默认没有该目录的写入权限。

排查解决步骤 #

• 方案一（最优，优先采用）：删除本地临时文件逻辑，直接上传内存流
  你已经持有ByteArrayOutputStream对象，不需要落地到本地磁盘即可直接上传到S3，从根源规避文件系统权限问题。
  将原代码中try块内的逻辑替换为如下内容即可：

try {
    String fileName = filename+"-"+currentDateTime+"-"+ currentTime +".xls";
    // 直接从ByteArrayOutputStream生成输入流，无需写本地文件
    InputStream is = new ByteArrayInputStream(baos.toByteArray());
    ObjectMetadata metadata = new ObjectMetadata();
    // 可选：设置Content-Length避免S3侧分块处理
    metadata.setContentLength(baos.size());
    s3Client.putObject(new PutObjectRequest(bucketName, path+"/"+fileName, is, metadata));
} catch (IOException | AmazonServiceException ex) {
    logger.error("error [" + ex.getMessage() + "] occurred while uploading [" + fileName + "] ");
}

• 方案二（需保留本地文件场景）：使用系统授权的临时目录
  如果业务逻辑确实需要先写入本地文件，不要使用空路径，调用Java内置API获取系统允许应用写入的临时目录：

// 获取系统临时目录路径，Beanstalk环境下应用用户默认对该目录有读写权限
String filePath = System.getProperty("java.io.tmpdir");
File file = new File(filePath, fileName);
FileOutputStream fos = new FileOutputStream(file);

• 兜底S3权限验证
  如果修改完文件逻辑仍报错，再按如下步骤确认S3相关权限：
  • 确认你绑定的是Elastic Beanstalk实例配置文件（Instance Profile）对应的IAM角色，而非Beanstalk服务角色
  • 确认S3存储桶的桶策略没有显式拒绝该实例角色的访问请求
  • 确认S3存储桶没有开启KMS默认加密，或实例角色拥有对应KMS密钥的使用权限

内容的提问来源于stack exchange，提问作者Anamik Adhikary