ECS任务访问S3 Bucket提示Access Denied问题排查求助

根据你的描述，已经配置了S3全权限的IAM策略给ECS任务，但只有bucket/Templates/*路径访问被拒，其他路径正常，结合文件上传的细节，我整理了几个最可能的遗漏点：

1. 对象级ACL限制是核心原因 #

你提到Templates下的文件是通过另一个profile p上传的，即使后来移除了--acl bucket-owner-full-control参数，默认情况下，上传对象的IAM实体（也就是profile p对应的用户/角色）会成为对象的所有者，并且对象的默认ACL只会允许所有者访问。

虽然你的ECS任务角色在桶级IAM策略里被允许访问，但对象级的ACL会优先限制访问——相当于桶开门了，但每个对象自己加了锁。

解决方法： #

• 重新上传时添加--acl bucket-owner-full-control参数，确保桶所有者（你的AWS账户）拥有对象的完整权限，这样ECS角色作为账户内的实体就能正常访问；
• 如果不想重新上传，可以批量修改现有对象的ACL（示例单对象修改，批量可结合脚本循环）：

  aws s3api put-object-acl --bucket bucket --key Templates/000000000001/ --acl bucket-owner-full-control --profile p
  

• 更彻底的方案是修改桶的对象所有权设置为「桶所有者优先（Bucket Owner Enforced）」，开启后所有上传到桶的对象都会自动归桶所有者所有，无需依赖ACL配置（此设置开启后无法关闭，需要确认业务影响）。

2. IAM策略的资源路径不匹配操作需求 #

你的IAM策略中Resource包含arn:aws:s3:::bucket/Templates/*，这个路径仅匹配Templates下的具体对象，但如果ECS任务需要执行「列出Templates目录内容」的操作（比如s3:ListObjectsV2），这个操作对应的资源是arn:aws:s3:::bucket/Templates（不带/*的前缀路径）或者桶本身。

如果你的任务先执行目录列表再访问对象，就会因为缺少前缀路径的权限而被拒。

解决方法： #

调整IAM策略的Resource，把前缀路径也包含进去：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::bucket/Templates",
        "arn:aws:s3:::bucket/Templates/*",
        "arn:aws:s3:::bucket/*",
        "arn:aws:s3:::anotherBucket/*"
      ]
    }
  ]
}

3. 确认ECS任务的权限角色配置正确 #

虽然你提到配置了IAM权限，但需要确认：

• 这个权限是附加给ECS任务角色（Task Role），而不是容器实例的角色；
• 任务定义中确实指定了这个角色作为任务角色（容器实例的AmazonEC2ContainerServiceforEC2Role仅用于ECS服务通信，不会给容器内的应用提供权限）。

可以通过AWS控制台查看任务定义的「任务角色」字段，确认关联的角色是你配置了S3权限的那个。

内容的提问来源于stack exchange，提问作者Jonesie