IBM CI/CD流水线上传COS桶遇AccessDenied错误，本地正常求排查

首先，既然本地能正常上传但CI/CD里报403，且你确认令牌生成正确，那问题大概率出在CI环境与本地环境的差异上，而非令牌本身。下面是几个优先排查的方向：

• 检查COS桶的访问控制策略（ACL/桶策略）
  很多时候本地IP在COS的允许访问列表里，但IBM CI/CD流水线的出站IP是动态的或者属于特定IP段，没被加入桶的白名单。你可以：

  1. 查看COS桶的桶策略，确认是否有IP限制规则；
  2. 临时移除IP限制（仅用于测试），重新运行CI流水线，看是否能成功上传；
  3. 如果测试成功，就需要把IBM CI/CD流水线对应区域的出站IP段加入COS的允许列表（IBM官方文档可查到对应区域的CI/CD出站IP范围）。

• 验证CI环境中curl请求的细节差异
  本地和CI里的curl请求可能存在细微差异，导致COS拒绝：

  • 对比本地和CI的curl命令，确认是否指定了正确的COS区域端点（比如https://s3.us-south.cloud-object-storage.appdomain.cloud这类，CI里可能写错了区域）；
  • 检查请求头，比如Host、Content-Type是否一致，本地curl可能自动补全了正确的Host，而CI里的脚本漏加了；
  • 查看CI日志里完整的curl命令和响应头，有没有额外的错误标识（比如COS返回的x-amz-request-id，可以用这个找IBM支持查询具体拒绝原因）。

• 确认CI服务账号的权限范围
  虽然你说令牌生成正确，但生成令牌的CI服务账号本身可能没有足够的COS桶写入权限：

  • 检查CI流水线使用的服务账号，是否被授予了cos.writer角色或者对应的桶级写入权限；
  • 对比本地使用的账号权限，本地可能用了个人管理员账号，而CI用的是受限服务账号，权限不足。

• 排查令牌的时效性与生效范围
  有些令牌会绑定特定环境或有较短的有效期：

  • 确认CI里生成令牌和执行curl的时间间隔，是否超过了令牌的过期时间；
  • 检查令牌的scope参数，是否包含了目标桶的写入权限（比如ibmcloud iam oauth-tokens命令生成的令牌，是否指定了正确的资源范围）。

如果以上都排查完还是有问题，可以尝试在CI流水线里添加ibmcloud cos list-objects --bucket <你的桶名>命令，测试服务账号是否能正常访问桶，进一步缩小问题范围。

内容的提问来源于stack exchange，提问作者Johnson