Как настроить политику IAM для S3 bucket?

Question

[VaniLuksh]

При попытки загрузить файл в S3 bucket через boto3 возникает ошибка:

An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

в IAM к юзеру привязана политика AmazonS3FullAccess:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

В чем может быть проблема?

Answer 1

[Иван Шумов]

В том что непонятно кто вызывает PutObject и выданы ли этому ресурсу эти права)

Comments

[VaniLuksh]

через aws configure указан AWS Access Key ID и AWS Secret Access Key

download_file работает, а вот с upload_file проблемы(

[Иван Шумов]

VaniLuksh,

проверить
aws iam get-user

и потом

aws iam list-attached-user-policies --user-name USERNAME

и дальше по списку.

Если тут нет проблем то будем смотреть дальше

[VaniLuksh]

Иван Шумов, пока писал вопрос удалил AdministratorAccess, сейчас обратно добавил чтобы сработал aws iam get-user

результат aws iam get-user:

{
    "User": {
        "UserName": "admin",
        "Path": "/",
        "CreateDate": "2020-09-01T07:04:52Z",
        "UserId": "***A3***************",
        "Arn": "arn:aws:iam::80**********:user/admin"
    }
}

результат

aws iam list-attached-user-policies --user-name admin

:

{
    "AttachedPolicies": [
        {
            "PolicyName": "AmazonS3FullAccess",
            "PolicyArn": "arn:aws:iam::aws:policy/AmazonS3FullAccess"
        },
        {
            "PolicyName": "AdministratorAccess",
            "PolicyArn": "arn:aws:iam::aws:policy/AdministratorAccess"
        }
    ]
}

PutObject c AdministratorAccess все также не работает(

[Иван Шумов]

VaniLuksh, тогда вот здесь инструкция как дебажить iam https://docs.aws.amazon.com/IAM/latest/UserGuide/a...

[VaniLuksh]

Иван Шумов, Спасибо!!!

Answer 2

[Vitaly Karasik]

Возможно, S3 bucket policy или ACL запрещает писать.
Советую создать новый bucket и попробовать положить туда файлы. Если получается - чинить в вашем bucket, если нет - я был не прав.