使用Neo4j导出数据至AWS S3时遇InvalidAccessKeyId错误求助

在本地Windows电脑的Neo4j Desktop内置Neo4j Browser中执行以下Cypher查询，尝试将本地图数据导出至AWS S3存储桶：

CALL apoc.export.csv.query(
  "MATCH (n:Person) RETURN n.name AS Name, n.born AS BirthYear",
  $url,
  {batchSize:1000,  quotes:true, header:true}
)
YIELD file, nodes, relationships, properties, time
RETURN file;

但始终返回权限错误：

Failed to invoke procedure `apoc.export.csv.query`: Caused by: com.amazonaws.services.s3.model.AmazonS3Exception: The AWS Access Key Id you provided does not exist in our records. (Service: Amazon S3; Status Code: 403; Error Code: InvalidAccessKeyId; Request ID: CWHN0KMP....

使用的$url遵循官方文档格式s3://accessKey:secretKey@endpoint:port/bucket/key，具体为：s3://<AWS_ACCESS_KEY_ID>:<AWS_SECRET_ACCESS_KEY>@s3.eu-central-1.amazonaws.com:443/<my-bucket-name>/<my-object-file-name>.json，请问问题出在哪里？

排查及解决步骤 #

• 处理密钥中的URL特殊字符：AWS密钥（尤其是Secret Access Key）常包含/、+、=这类URL保留字符，直接写入URL会导致解析错误。必须对这些字符进行URL编码：
  • / 替换为 %2F
  • + 替换为 %2B
  • = 替换为 %3D
• 验证密钥有效性与权限：
  • 登录AWS控制台，确认IAM用户的Access Key ID无误，且未被禁用或删除。
  • 检查该IAM用户的权限策略，确保包含目标S3存储桶的PutObject写入权限。
• 简化S3 URL格式：AWS S3的HTTPS访问默认端口为443，无需在URL中显式指定，可简化为：

  s3://<编码后的AccessKey>:<编码后的SecretKey>@s3.eu-central-1.amazonaws.com/<my-bucket-name>/<my-object-file-name>.json
  

• 改用配置文件存储密钥（推荐）：在Neo4j的neo4j.conf配置文件中添加AWS密钥配置，避免明文暴露：

  apoc.s3.access.key=<你的AWS_ACCESS_KEY_ID>
  apoc.s3.secret.key=<你的AWS_SECRET_ACCESS_KEY>
  

  之后URL可简化为：

  s3://s3.eu-central-1.amazonaws.com/<my-bucket-name>/<my-object-file-name>.json
  

• 确认存储桶区域匹配：检查目标S3存储桶的实际区域是否为eu-central-1，若区域不符，需替换对应的endpoint地址。

内容的提问来源于stack exchange，提问作者Kt Student