跨账户访问Amazon S3部分对象返回403访问拒绝错误排查求助

问题根因定位 #

你遇到的部分对象403错误，核心原因是账户A的上传逻辑存在缺陷：putObject与setObjectAcl是两个独立的API请求，一旦中间出现网络波动、API限流、账户A缺少s3:PutObjectAcl权限等异常，setObjectAcl请求就会执行失败，对应对象的ACL会保留默认的上传者（账户A）独占权限。S3的对象访问权限优先级规则中，对象ACL优先级高于桶策略，因此即使桶策略已经开放了账户C的访问权限，依然会返回403。

排查验证步骤 #

• 任选1个访问失败的对象，使用账户B的管理员身份执行aws s3api get-object-acl --bucket ACCOUNT_B_BUCKET --key 异常对象KEY，查看返回的ACL规则，确认是否未配置BucketOwnerFullControl权限
• 检查账户A的IAM策略，确认是否授予了s3:PutObjectAcl权限，若缺少该权限，所有setObjectAcl请求都会直接被拒绝，代码未做异常捕获的情况下不会有报错提示
• 查看账户B的S3桶「对象所有权」配置，确认是否未开启*Bucket owner enforced（桶所有者强制）*选项

修复方案 #

存量异常对象修复 #

使用账户A的身份对所有上传的异常对象批量重置ACL：

aws s3api put-object-acl --bucket ACCOUNT_B_BUCKET --key <对象KEY> --acl bucket-owner-full-control

上传逻辑永久修复 #

1. 优化上传代码，将ACL配置直接嵌入putObject请求参数中，无需单独调用setObjectAcl，彻底避免两个API的时序风险，Java示例代码如下：

PutObjectRequest putObjectRequest = new PutObjectRequest(bucketName, key, new FileInputStream(content), metadata)
        .withCannedAcl(CannedAccessControlList.BucketOwnerFullControl);
this.s3Client.putObject(putObjectRequest);

2. （最优方案）在账户B的S3桶设置中开启Bucket owner enforced所有权规则，开启后所有上传到桶的对象所有权自动归属于桶所属账户B，完全忽略上传者设置的ACL，从根源避免跨账户上传的权限冲突问题

同类问题快速调试方法 #

• 跨账户S3访问403优先核对异常对象的ACL配置，90%以上的同类问题都由对象ACL不匹配导致，可直接用aws s3api get-object-acl命令快速验证
• 开启S3访问日志，将日志投递到同账号的独立存储桶，访问失败后查看日志的ErrorCode字段，可直接定位权限拒绝的具体触发原因
• 用AWS IAM Access Analyzer对目标桶执行权限扫描，可自动识别对象所有权、桶策略、ACL三类配置的冲突问题

内容的提问来源于stack exchange，提问作者amazing_milkha