使用IAM角色从ECS拉取S3对象时遭遇访问拒绝

我来帮你梳理几个最常见的排查点和解决办法，毕竟在ECS里用IAM角色访问KMS加密S3桶时碰到AccessDenied，大概率是权限链上的某个环节没配置到位：

1. 确认ECS任务执行角色的权限是否完整 #

你的ECS任务执行角色需要同时拥有S3对象读取权限和KMS解密权限——因为访问加密对象时，不仅要能拉取S3文件，还要能调用KMS解密对应的密钥。

给角色附加类似这样的IAM策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::your-bucket-name/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:your-account-id:key/your-kms-key-id-or-alias"
        }
    ]
}

记得替换其中的桶名、AWS账号ID和KMS密钥ARN。

2. 检查KMS密钥的密钥策略是否授权了ECS角色 #

光有IAM角色的权限还不够，KMS密钥本身的密钥策略也得允许你的ECS任务角色执行解密操作——很多人容易漏掉这一步。

在KMS控制台找到你的密钥，编辑密钥策略，添加以下语句：

{
    "Sid": "AllowECSTaskRoleToDecrypt",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::your-account-id:role/your-ecs-task-execution-role-name"
    },
    "Action": [
        "kms:Decrypt",
        "kms:DescribeKey"
    ],
    "Resource": "*"
}

这里的Principal要填你ECS任务执行角色的完整ARN。

3. 确保S3加密客户端使用默认凭证链 #

你的代码里千万别手动硬编码Access Key和Secret Key！AmazonS3EncryptionClientBuilder会自动从ECS容器的环境中获取IAM角色的临时凭证，所以你的代码应该是这样的：

public void encryptionOnly_KmsManagedKey() throws NoSuchAlgorithmException { 
    AmazonS3Encryption s3Encryption = AmazonS3EncryptionClientBuilder 
        .standard() 
        .withRegion(Regions.US_EAST_1) 
        .withCryptoConfiguration(new CryptoConfiguration(CryptoMode.AuthenticatedEncryption)) 
        .withEncryptionMaterials(new KMSEncryptionMaterialsProvider("your-kms-key-id-or-alias"))
        // 不要加.withCredentials()手动指定凭证，让它用默认的凭证链
        .build(); 
    // 后续的S3操作逻辑...
}

如果硬编码了凭证，会直接覆盖IAM角色的凭证，自然会出现权限不足的问题。

4. 验证容器内是否能正常获取IAM角色凭证 #

可以在ECS容器里执行这条命令，测试是否能拿到角色的临时凭证：

curl http://169.254.170.2$AWS_CONTAINER_CREDENTIALS_RELATIVE_URI

如果能返回包含AccessKeyId、SecretAccessKey和SessionToken的JSON，说明凭证获取正常；如果返回错误，可能是ECS任务定义里没正确关联任务执行角色。

5. 排查S3桶的桶策略和ACL #

虽然用IAM角色访问时桶策略不是必须的，但如果桶里有拒绝访问的策略，会直接覆盖IAM权限。确保桶策略里没有拒绝你的ECS角色访问的语句。

要是按照这些步骤排查后还是不行，建议去CloudTrail里找对应的拒绝事件日志——日志里会明确说明是哪个权限缺失、哪个策略导致的拒绝，能帮你快速定位问题。

内容的提问来源于stack exchange，提问作者amiivas