S3 Bucket访问被拒求助：Cognito联合身份访问图片报错

你能列出存储桶内容但加载图片时碰到权限报错，这种情况大概率不是信任关系的问题，而是IAM角色权限、S3桶策略、身份池角色映射这几个环节没配置到位，我给你一步步排查：

1. 检查Cognito关联IAM角色的权限 #

你已经配置了信任关系让Cognito能扮演这个角色，但角色本身得有读取图片的权限啊！确保角色的权限策略里包含s3:GetObject操作，对应你要访问的图片路径（或整个桶）。比如：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::your-bucket-name"
    },
    {
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::your-bucket-name/*"
    }
  ]
}

划重点：ListBucket是列出桶内容的权限，GetObject才是获取具体文件的权限——你能列但不能读，十有八九是缺了后者！

2. 确认S3桶策略没有拦截访问 #

有时候哪怕IAM角色有权限，桶策略的Deny语句也会优先覆盖允许规则。检查桶的策略：

• 确保没有针对你的Cognito角色/身份的拒绝规则
• 如果桶是私有的，要明确允许你的IAM角色访问，示例如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::your-account-id:role/your-cognito-role-name"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::your-bucket-name/*"
    }
  ]
}

另外也可以检查下桶的公有访问阻止设置，确认是否允许通过IAM角色访问（默认是允许的，但保险起见可以核对）。

3. 验证Cognito身份池的角色映射 #

登录AWS控制台进入你的Cognito身份池，检查「身份验证提供商」的角色映射：

• 确保你用的身份提供商（比如Cognito用户池、Google/Facebook）关联了正确的IAM角色
• 如果用了未认证身份，也要确认未认证角色的权限配置正确

4. 检查Web应用的凭证获取逻辑 #

确保前端是通过Cognito正确获取临时凭证的：

• 调用AWS.CognitoIdentityCredentials时，要指定正确的身份池ID和提供商信息
• 可以在浏览器控制台打印AWS.config.credentials，确认是否拿到了有效的临时凭证（包含AccessKeyId、SecretKey、SessionToken）

5. 排查单个S3对象的ACL（可选） #

如果只是个别图片无法访问，检查该对象的ACL设置，确保你的Cognito角色/身份有读取权限。不过更推荐用IAM角色权限统一管理，除非有特殊需求。

最后可以用AWS CLI做个测试：先用aws sts assume-role-with-web-identity获取临时凭证，再用这些凭证执行aws s3 cp s3://your-bucket-name/your-image.jpg .，如果CLI能成功但前端不行，问题大概率出在前端的凭证传递或请求方式上。

内容的提问来源于stack exchange，提问作者Saveen