访问被拒绝 - 使用预先签名的URL的S3资源 - PHP SDK

我正在生成预先签名的URL以允许用户从S3存储桶下载文件。我使用下面的代码通过PHP SDK生成的URL：访问被拒绝 - 使用预先签名的URL的S3资源 - PHP SDK

public static function get_content_link($bucket, $key) { 

    //check response code from AWS 
    require_once 'aws/aws-autoloader.php'; 

    $s3 = new Aws\S3\S3Client([ 
     'version' => 'latest', 
     'region' => 'eu-west-1', 
     'credentials' => [ 
      'key' => 'MY-KEY', 
      'secret' => 'MY-SECRET', 
     ], 
    ]); 

    $cmd = $s3->getCommand('GetObject', [ 
     'Bucket' => $bucket, 
     'Key' => $key 
    ]); 

    $request = $s3->createPresignedRequest($cmd, '+500 minutes'); 

    // Get the actual presigned-url 
    $presignedUrl = (string) $request->getUri(); 

    return $presignedUrl; 
}

的网址会被返回如预期，例如：

https://s3-eu-west-1.amazonaws.com/MY-BUCKET-NAME/product/3166_1480009917388.mov?x-amz-content-sha256=unsigned-payload&x-amz-algorithm=aws4-hmac-sha256&x-amz-credential=akiaiqrmkn276hcpjkaq%2f20161127%2feu-west-1%2fs3%2faws4_request&x-amz-date=20161127t145603z&x-amz-signedheaders=host&x-amz-expires=30000&x-amz-signature=98eaef504f053ca56908ac49c6539c4a8b8e250d7d3a4a12460f4a806ec41c19

当我尝试打开任何返回的链接浏览器我从S3获得拒绝访问错误：

<Error> 
    <Code>AccessDenied</Code> 
    <Message>Access Denied</Message> 
    <RequestId>A37839BB23186F72</RequestId> 
    <HostId> 
yvKTN+CN1TTNk2tqoxxm3MPOGTUSMaRYtbbEFeCzGP7ou5IYf37Z9uBESwUQWDIUR1GUuPbZyuM= 
    </HostId> 
</Error>

，我想提供接入是其中包含文件夹允许公众访问桶中的文件，由我想要的文件夹访问是私有的（称为/ product /）。我们斗的政策是这样的：

{ 
     "Version": "2008-10-17", 
     "Statement": [ 
      { 
       "Sid": "AllowPublicReadProxies", 
       "Effect": "Allow", 
       "Principal": { 
        "AWS": "*" 
       }, 
       "Action": "s3:GetObject", 
       "Resource": "arn:aws:s3:::MY-BUCKET-NAME/proxies*" 
      }, 
      { 
       "Sid": "AllowPublicReadThumbs", 
       "Effect": "Allow", 
       "Principal": { 
        "AWS": "*" 
       }, 
       "Action": "s3:GetObject", 
       "Resource": "arn:aws:s3:::MY-BUCKET-NAME/thumbs*" 
      } 
     ] 
    }

这是我的理解，创造一个预签名URL的目的是允许未授权的用户受保护的文件的临时访问，而无需修改桶或文件夹的权限。

有没有人有任何想法，我已经错过或做错了？

谢谢！

来源

2016-11-27 TGuimond

您在哪里授予与此AWS Access Key Id关联的IAM用户执行's3：GetObject'所需的权限？ –

您是否可以尝试使用[AWS Command-Line Interface（CLI）]（http://aws.amazon.com/cli/）生成预签名的URL来确认权限是否有效？要使用的命令是['aws s3 presign']（http://docs.aws.amazon.com/cli/latest/reference/s3/presign.html）。然后，比较这些网址以确保所有元素都匹配（但值会有所不同）。您提供的网址中的“过期”时间似乎不正确。预先签名的URL不依赖存储桶策略 - 它是提供访问权限的另一种方式。 –

@ Michael-sqlbot - 我正在使用根访问密钥而不是特定的IAM用户。 – TGuimond

非常感谢@ Michael-sqlbot为我解决这个问题。

事实证明，当将预先签名的URL输出到页面时，我强制整个URL为小写字母，因此AWS由于资源技术上不存在而返回了拒绝访问错误。

来源

2016-11-29 21:19:45 TGuimond

嗯，从技术上讲，访问被拒绝的错误是由于S3忽略了小写的'x-amz- *'查询字符串参数引起的，并且得出结论认为你实际上没有提供它应该试图验证的任何凭证。你可以通过将其中的一个*全部改为全部小写来证明这一点。 S3会突然发出一条新的错误信息，告诉你它缺失。将它们全部更改为更低，并且该消息消失，因为S3假定它是匿名请求，不提供凭证。 –

访问被拒绝 - 使用预先签名的URL的S3资源 - PHP SDK

回答

相关问题