使用Amazon S3加密策略上传对象时遇Access Denied问题求助

我尝试通过Java代码向Amazon S3存储桶上传文件，已经配置了以下策略来拒绝未加密文件的上传：

{ 
  "Version": "2012-10-17", 
  "Id": "PutObjPolicy", 
  "Statement": [ 
    { 
      "Sid": "DenyUnEncryptedObjectUploads", 
      "Effect": "Deny", 
      "Principal": "*", 
      "Action": "s3:PutObject", 
      "Resource": "arn:aws:s3:::file-upload-test/*", 
      "Condition": { 
        "StringNotEquals": { 
          "s3:x-amz-server-side-encryption": "AES256" 
        } 
      } 
    } 
  ] 
}

但使用Java代码上传时，出现了Access Denied异常：

com.amazonaws.services.s3.model.AmazonS3Exception: Access Denied (Service: Amazon S3; Status Code: 403; Error Code: AccessDenied; Request ID: F287836ABBF2B486)

我的Java代码如下：

ObjectMetadata objectMetadata = new ObjectMetadata(); 
objectMetadata.setContentLength(fileSize); 
objectMetadata.setSSEAlgorithm(ObjectMetadata.AES_256_SERVER_SIDE_ENCRYPTION); 
objectMetadata.setContentType(contentType); 
putObjectRequest = new PutObjectRequest(bucketName, fileName, inputStream, objectMetadata); 
s3client.putObject(putObjectRequest);

请问该代码是否正确？若正确需做何修改？若不正确是否应使用客户端加密？请给出建议。

你的代码逻辑本身是正确的，但出现Access Denied肯定是有细节没到位，我帮你分析几个可能的原因和解决方向：

1. 确认IAM权限配置 #

首先要确保你的S3客户端使用的IAM用户/角色，除了拥有s3:PutObject权限外，还要检查是否有其他必要的权限——比如如果你的上传请求涉及ACL设置，还需要s3:PutObjectAcl权限。有时候桶策略限制了加密要求，但IAM用户本身没有上传权限，也会触发403错误。

2. 验证加密算法参数 #

你代码里用的ObjectMetadata.AES_256_SERVER_SIDE_ENCRYPTION常量对应的字符串就是AES256，和桶策略里的条件值完全匹配，这部分是没问题的。不过可以尝试手动指定字符串来排除常量可能的潜在问题：

objectMetadata.setSSEAlgorithm("AES256");

3. 排查冲突的桶策略 #

检查你的存储桶是否配置了其他Deny类型的策略，比如限制上传IP、要求特定的ACL或者其他请求头条件——这些策略会和你当前的加密策略叠加，可能导致请求被拒绝。可以登录S3控制台，在桶的「权限」页面查看所有已配置的桶策略，确保没有冲突规则。

4. 关于客户端加密的说明 #

你的场景要求的是服务端加密（SSE-S3），这和客户端加密是完全不同的方案：

• 服务端加密是S3在存储数据时自动完成加密，你只需要在请求中指定加密算法即可，S3会负责后续的加密和解密操作，这和你当前的桶策略要求完全匹配。
• 客户端加密是你在本地对数据加密后再上传到S3，S3仅存储加密后的内容。这种方式不会在请求中携带s3:x-amz-server-side-encryption头，会被你的桶策略直接拒绝，所以并不适合当前的配置。

额外排查步骤 #

如果上面的方法都没解决问题，可以开启S3的请求日志，查看实际的请求头中是否确实携带了s3:x-amz-server-side-encryption: AES256——有时候旧版本的AWS Java SDK可能存在头信息未正确添加的问题。另外建议升级到最新的AWS Java SDK版本，避免版本兼容性导致的异常。

内容的提问来源于stack exchange，提问作者Rohit