ruby-on-rails - 尝试设置 Amazon 的 S3 存储桶 : 403 Forbidden error & setting permissions

Question

我正在关注 Hartl 的 railstutorial.org 并已到达 11.4.4: Image upload in production .我做了什么:

• 注册亚马逊网络服务
• 在 Amazon Identity and Access Management 中，我创建了一个用户。用户创建成功。
• 在 Amazon S3 中，我创建了一个新存储桶。
• 设置新存储桶的权限:

权限:本教程指示“授予上一步创建的用户读写权限”。但是，在存储桶的“权限”下，未提及新用户名。我只能在每个人、经过身份验证的用户、日志传送、我和亚马逊似乎根据我的名字 + 数字创建的用户名之间进行选择。我已经通过选择经过身份验证的用户并选中了上传/删除和查看权限的框(而不是选择列表和编辑权限)来尝试它。我还通过选择 Everyone 进行了尝试，并选中了所有四个框。结果是一样的。

• 我按照教程的说明在我的 Rails 应用程序中实现了(我不相信那里有任何问题，所以我没有在此处包含这些步骤以避免太长)。

初始化程序 carrier_wave.rb 设置为以下代码。我已将 region: 'eu-west-1' 添加到初始化程序(我从 here 得到的想法)以消除消息 connecting to the matching region will be more高性能。

if Rails.env.production?
  CarrierWave.configure do |config|
    config.fog_credentials = {
      # Configuration for Amazon S3
      :provider              => 'AWS',
      :aws_access_key_id     => ENV['S3_ACCESS_KEY'],           # Set these key's using heroku config:set S3_ACCESS_KEY=<access key>
      :aws_secret_access_key => ENV['S3_SECRET_KEY'],
      :region                => 'eu-west-1'
    }
    config.fog_directory     =  ENV['S3_BUCKET']
  end
end

• 它在开发中起作用，我将其推送到 Heroku。

错误:在生产环境中使用 uploader 上传图片时，出现错误 We're sorry, but something went wrong. Heroku 服务器日志显示:

app[web.1]:   SQL (1.7ms)  UPDATE "users" SET "avatar" = $1, "updated_at" = $2 WHERE "users"."id" = $3  [["avatar", "animaatjes.png.gif"], ["updated_at", "2015-05-20 12:37:56.683858"], ["id", 18]]
heroku[router]: at=info method=POST path="/users/18" host=xxx.herokuapp.com request_id=xxx-7f9f-4580-89ba-xxx fwd="xx.xxx.xx.xxx" dyno=web.1 connect=0ms service=3461ms status=500 bytes=1714
app[web.1]: Completed 500 Internal Server Error in 3317ms (ActiveRecord: 13.0ms)
app[web.1]:    (1.4ms)  ROLLBACK
app[web.1]: Excon::Errors::Forbidden (Expected(200) <=> Actual(403 Forbidden)
app[web.1]: excon.error.response
app[web.1]:   :body          => "<?xml version=\"1.0\" encoding=\"UTF-8\"?>\n<Error><Code>AccessDenied</Code><Message>Access Denied</Message><RequestId>F8xxxD89</RequestId><HostId>MdB5iSMgxxx1vqE+Q=</HostId></Error>"
app[web.1]:   :headers       => {
app[web.1]:     "Connection"       => "close"
app[web.1]:     "Content-Type"     => "application/xml"
app[web.1]:     "Date"             => "Wed, 20 May 2015 12:37:57 GMT"
app[web.1]:     "Server"           => "AmazonS3"
app[web.1]:     "x-amz-id-2"       => "MdB5iSMg***K1vqdP+E+Q="
app[web.1]:     "x-amz-request-id" => "F80A**C58"
app[web.1]:   }
app[web.1]:   :local_address => "***.**.**.**"
app[web.1]:   :local_port    => *****
app[web.1]:   :reason_phrase => "Forbidden"
app[web.1]:   :remote_ip     => "**.***.***.***"
app[web.1]:   :status        => 403
app[web.1]:   :status_line   => "HTTP/1.1 403 Forbidden\r\n"
app[web.1]:   app/controllers/users_controller.rb:46:in 'update'
app[web.1]: Completed 500 Internal Server Error in 6151ms (ActiveRecord: 60.7ms) 

我做错了什么？我好像跟权限有关系？

---

更新:原因原来是授予用户的策略。如果我授予用户标准 AmazonS3FullAccess，那么它就可以工作。它不适用于 AmazonS3ReadOnlyAccess，因为那时用户无法保存新图像。在我的应用中，用户基本上只需要2个权限:上传自己的头像和阅读头像。 使用 AmazonS3FullAccess 安全吗？还是我应该编写自己的自定义策略？

我尝试了下面的自定义策略，它应该赋予应用程序读取和写入权限(采用自 here )，但仍然生成了 403 Forbidden 错误。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": ["arn:aws:s3:::mybucket"]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:DeleteObject"
      ],
      "Resource": ["arn:aws:s3:::mybucket/*"]
    }
  ]
}

Answer 1

要启用 S3 文件上传，我必须:

• 指定我的区域(美国西部)
• 创建 IAM 用户
• 添加一个 Bucket Policy，将该用户指定为 Principal

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "AllowFileUpload",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::XXXXXXX:user/instaswan"
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": [
                "arn:aws:s3:::instaswan-dev",
                "arn:aws:s3:::instaswan-dev/*"
            ]
        }
    ]
}

请务必包含顶级资源和“/*”资源，并包含您需要的任何其他“操作”属性。