Go Lambda 调用时，S3:HeadObject 返回 403 响应

在使用 Go Lambda 调用 S3:HeadObject 时，出现 403 响应。尽管已在 IAM 角色中授予了 s3:listbucket、s3:getobject、s3:putobject 和 s3:getobjectattributes 权限，但 Lambda 仍返回内部服务器错误。原因是 Lambda 运行的存储桶名称被硬编码，而 Lambda 应从环境变量中获取正确的存储桶名称。

我正在使用 go cdk 定义以下基础设施：

bucket := awss3.newbucket(stack, aws.string("redacted"), &awss3.bucketprops{
    accesscontrol:    awss3.bucketaccesscontrol_private,
    publicreadaccess: aws.bool(false),
    removalpolicy:    awscdk.removalpolicy_destroy,
    versioned:        aws.bool(true),
})

getfilestatslambda := awslambda.newfunction(stack, aws.string("getfilestatslambda"), &awslambda.functionprops{
    runtime: awslambda.runtime_go_1_x(),
    code:    awslambda.code_fromasset(lambdapath("get_file_stats"), &awss3assets.assetoptions{}),
    handler: aws.string("main"),
})
getfilestatslambda.addtorolepolicy(
    awsiam.newpolicystatement(&awsiam.policystatementprops{
        actions:   &[]*string{aws.string("s3:listbucket")},
        resources: &[]*string{bucket.bucketarn()},
    }),
)
getfilestatslambda.addtorolepolicy(
    awsiam.newpolicystatement(&awsiam.policystatementprops{
        actions: &[]*string{
            aws.string("s3:listbucket"),
            aws.string("s3:getobject"),
            aws.string("s3:putobject"),
            aws.string("s3:getobjectattributes"),
        },
        resources: &[]*string{aws.string(*bucket.bucketarn() + "/*")},
    }),
)

“getfilestatslambda”的处理程序定义如下：

key := args.body

// instantiate s3 client.
cfg, err := config.loaddefaultconfig(context.todo())
if err != nil {
    panic(fmt.errorf("failed to load aws config: %w", err))
}
s3client := s3.newfromconfig(cfg)

// get object stats.
headobjectoutput, err := s3client.headobject(ctx, &s3.headobjectinput{
    bucket: aws.string("redacted_bucket_name"),
    key:    aws.string(key),
})
if err != nil {
    panic(fmt.errorf("failed to get object stats for key %s: %w", key, err))
}

return "empty", nil

当我使用下面的curl 命令调用 lambda 时，出现“内部服务器错误”

curl -x post \
    'https://redacted.lambda-url.us-east-1.on.aws/' \
    -h 'content-type: application/json' \
    -d 'path/to/file'

通过查看cloudwatch，我可以看到错误是：

operation error s3: headobject, https response error statuscode: 403

无论调用 lambda 所用的 s3 键是否存在，都会发生此错误。

谷歌搜索此错误，产生将错误归因于不具有以下权限之一的来源：

• s3:listbucket
• s3:getobject
• s3:putobject
• s3:getobjectattributes

但我已经在 lambda 使用的 iam 角色使用的策略中授予了这些权限。在撰写本文时，我的政策如下所示：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:ListBucket",
                "s3:GetObject",
                "s3:PutObject",
                "s3:GetObjectAttributes",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::REDACTED_BUCKET_NAME",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:ListBucket",
                "s3:GetObject",
                "s3:PutObject",
                "s3:GetObjectAttributes",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::REDACTED_BUCKET_NAME/*",
            "Effect": "Allow"
        }
    ]
}

请注意，上述策略与 cdk 中定义的策略不同，因为自从上次运行 cdk 部署以来，我已手动对其进行编辑以减少限制。

有人知道为什么我的 lambda 出现 403 错误吗？

正确答案

问题是我对 lambda 运行的存储桶名称进行了硬编码。 我通过更改 CDK 程序以在构建 lambda 之前将正确的存储桶名称注入到 lambda 中来解决它。 我通过将我的存储桶名称放入环境变量并让我的 lambda 从那里读取它来解决它。

好了，本文到此结束，带大家了解了《Go Lambda 调用时，S3:HeadObject 返回 403 响应》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多Golang知识！