amazon-web-services - S3 : User cannot access object in his own s3 bucket if created by another user

Question

外部用户可以访问我们的 s3 存储桶，在我们的存储桶策略中使用这些操作:

"Action": [
            "s3:GetObjectAcl",
            "s3:GetObject",
            "s3:PutObjectAcl",
            "s3:ListMultipartUploadParts",
            "s3:PutObject"
        ]

该用户生成了 temporary credentials ，然后用于将文件上传到我们的存储桶中。

现在，我无法访问该文件。在 s3 UI 中，如果我尝试下载该文件，我会收到 403。如果我尝试更改该对象的权限，我会看到消息:“抱歉!您没有查看此存储桶的权限。”如果外部用户在使用临时凭证上传文件时设置了适当的 header (x-amz-acl bucket-owner-full-control)，我可以正常访问该文件。对我来说似乎很奇怪，即使我拥有存储桶，外部用户也有可能将我无法访问的文件放入其中。

是否有可能我可以设置一些策略以便我可以访问该文件，或者我可以访问添加到我的存储桶中的任何文件，而不管它是如何添加的？谢谢!

Answer 1

我相信您必须让对象所有者更新 ACL 或重写指定存储桶所有者完全控制的对象。对此进行试验的最简单方法是使用 CLI:

aws s3api put-object-acl --acl bucket-owner-full-control --bucket some-bucket --key path/to/unreadable.txt

是的，我认为您必须为每个对象执行一次，我认为没有递归选项。

AWS 发布 example bucket policy 防止在不给存储桶所有者完全控制的情况下将对象添加到存储桶。但这不会解决您存储桶中已有对象的所有权问题。

我不知道有任何策略会自动将所有权转移给存储桶所有者。