从网站调用AWS CLI无法上传文件至S3的问题求助

这种情况我在运维过程中碰到过好多次，核心问题基本都集中在权限、AWS凭证或者环境变量这几个点上，咱们一步步来排查解决：

1. 先确认执行脚本的用户身份 #

Apache在Amazon Linux上默认是以apache用户运行的，而你在命令行执行时用的是自己的用户（比如ec2-user），这两个用户的权限和环境完全不同。

• 先切换到apache用户手动测试命令：

  su -s /bin/bash apache
  /usr/bin/aws s3 cp /path/to/local/file.zip s3://my/bucket/dir/
  

  如果这里执行失败，那问题就出在apache用户本身的权限或配置上，直接针对这个用户排查即可。

• 同时要确保本地的file.zip文件对apache用户有可读权限：

  chmod o+r /path/to/local/file.zip
  # 或者调整文件所属组为apache
  chgrp apache /path/to/local/file.zip
  

2. AWS凭证是重灾区 #

命令行执行时用的是当前用户的凭证（存在~/.aws/credentials），但apache用户的家目录默认是/var/www/，大概率没有这个凭证文件，或者权限不对。

两种解决方案： #

• 方案一：给apache用户配置凭证
  在/var/www/下创建.aws目录和凭证文件：

  mkdir -p /var/www/.aws
  cp ~ec2-user/.aws/credentials /var/www/.aws/
  chown -R apache:apache /var/www/.aws/
  chmod 600 /var/www/.aws/credentials # 必须设置600权限，AWS会拒绝其他权限的凭证文件
  

• 方案二：给EC2实例附加IAM角色（推荐）
  这是更安全、更省心的方式：

  1. 在IAM控制台创建一个角色，给它添加AmazonS3FullAccess（或者更精细的权限，比如只允许PutObject到目标桶）的策略。
  2. 把这个角色附加到你的EC2实例上。
     这样apache用户不需要任何本地凭证，就能自动通过实例角色访问S3，避免了凭证管理的麻烦。

3. 环境变量缺失的问题 #

虽然你用了/usr/bin/aws的绝对路径，但AWS CLI可能依赖一些环境变量（比如区域），而Apache的运行环境里默认没有这些变量。

可以在bash脚本开头手动添加必要的环境变量：

#!/bin/bash
export AWS_DEFAULT_REGION=us-east-1 # 替换成你的S3桶所在区域
export PATH=/usr/bin:$PATH # 确保命令路径正确

# 然后执行上传命令，同时记录日志
/usr/bin/aws s3 cp /path/to/local/file.zip s3://my/bucket/dir/ >> /var/log/aws_upload.log 2>&1

把命令的输出和错误重定向到日志文件，方便后续排查。

4. 查看日志找具体错误 #

不要盲目试错，日志是最好的帮手：

• Apache的错误日志一般在/var/log/httpd/error_log，里面会记录脚本执行时的报错信息（比如权限拒绝、认证失败、命令找不到等）。
• 刚才脚本里的/var/log/aws_upload.log也会记录AWS命令的具体输出，看里面的错误提示就能精准定位问题。

5. SELinux的限制（容易被忽略） #

Amazon Linux默认开启SELinux，它可能会阻止Apache进程访问外部文件或者发起网络请求。

• 先临时关闭SELinux测试：

  setenforce 0
  

  如果此时脚本能正常执行，那就是SELinux的问题。

• 永久解决方法：

  • 允许Apache发起网络连接（因为要访问S3）：

    setsebool -P httpd_can_network_connect on
    

  • 如果本地文件在Apache默认目录外，需要给文件设置正确的SELinux上下文：

    semanage fcontext -a -t httpd_sys_content_t "/path/to/local(/.*)?"
    restorecon -Rv /path/to/local
    

内容的提问来源于stack exchange，提问作者blacKnight