使用IAM用户生成S3预签名URL遇访问拒绝问题排查

咱们先从几个最容易忽略的点入手，你的配置看起来大体没问题，但这些细节很可能是症结所在：

1. 确认凭证配置是否混淆了IAM用户与角色 #

你提到用~/.aws/credentials里的IAM角色配置文件生成会话，但预签名URL需要使用IAM用户的长期访问密钥（Access Key + Secret Key），而不是IAM角色的临时凭证（除非你先通过STS AssumeRole获取临时密钥）。检查你的credentials文件里的IAM-PROFILE对应的内容：

[IAM-PROFILE]
aws_access_key_id = YOUR_IAM_USER_ACCESS_KEY
aws_secret_access_key = YOUR_IAM_USER_SECRET_KEY

如果这里填的是IAM角色的ARN，那肯定会出问题——角色需要通过STS AssumeRole来获取临时凭证，不能直接作为profile使用。

2. 验证桶策略的Principal ARN是否完全正确 #

你的桶策略里指定的IAM-USER-ARN必须和IAM用户的实际ARN完全一致，格式应该是：
arn:aws:iam::123456789012:user/your-iam-username
检查有没有写错账号ID、用户名，或者多了/少了符号，哪怕一个字符错误都会导致权限不生效。

3. 检查S3桶的Block Public Access设置 #

这是高频踩坑点！即使IAM和桶策略都允许，如果桶的Block Public Access里的相关选项开启，可能会间接影响预签名URL的访问（尤其是当URL被识别为“潜在公共访问”时）。进入S3控制台，找到你的桶：

• 进入「权限」标签页
• 点击「Block public access (bucket settings)」
• 确保没有勾选“Block all public access”，且其他选项没有完全限制合法的IAM用户访问（比如不要勾选“Restrict public buckets”除非你明确知道需求）

4. 确认预签名URL的生成参数与实际资源匹配 #

检查你的Boto3代码：

• Bucket='BUCKET-NAME'：确认桶名完全正确，包括大小写（S3桶名在大多数区域是大小写不敏感，但部分区域严格区分）
• Key='FILE-NAME.png'：确认文件在桶中的完整路径正确，如果文件在子文件夹下，Key应该是folder/subfolder/FILE-NAME.png
• region='us-east-2'：确认你的S3桶确实位于us-east-2区域，否则预签名URL的endpoint会不匹配，导致访问被拒

5. 排查是否存在权限冲突（拒绝策略） #

IAM权限是拒绝优先的，检查这个IAM用户是否受到其他限制：

• 有没有附加的托管策略或内联策略包含Deny语句，阻止了s3:GetObject等操作
• 你的AWS账户是否有**服务控制策略（SCP）**限制了S3资源的访问（如果是组织内的账户）
• 检查IAM用户的「权限边界」是否限制了S3相关操作

6. 直接测试IAM用户的基础权限 #

先跳过预签名URL，用同一个IAM用户的凭证直接调用S3 API，验证是否能访问目标对象：

session = boto3.Session(profile_name='IAM-PROFILE')
s3_client = session.client('s3', 'us-east-2')
try:
    response = s3_client.get_object(Bucket='BUCKET-NAME', Key='FILE-NAME.png')
    print("直接访问成功，权限没问题！")
except Exception as e:
    print(f"直接访问失败，错误信息：{e}")

如果直接访问都失败，说明问题出在IAM用户的权限配置，而不是预签名URL的生成；如果直接访问成功，再检查预签名URL的生成逻辑（比如签名版本是否正确，你用的s3v4是正确的，大多数区域推荐这个版本）。

内容的提问来源于stack exchange，提问作者cle_joe