Amazon S3 AccessDenied: доступ запрещен в Request.extractError - с активной маркировкой объекта

Question

Мы пытаемся автоматизировать наш рабочий процесс S3, настраивая функцию Lambda для добавления в нее пользовательских тегов.

Наши функции Lambda не работают с:

2019-11-04T11:32:40.057Z 41513606-8bdd-4c24-85c4-7773d213fc32 { AccessDenied: Access Denied
at Request.extractError (/var/runtime/node_modules/aws-sdk/lib/services/s3.js:585:35)
at Request.callListeners (/var/runtime/node_modules/aws-sdk/lib/sequential_executor.js:106:20)
at Request.emit (/var/runtime/node_modules/aws-sdk/lib/sequential_executor.js:78:10)
at Request.emit (/var/runtime/node_modules/aws-sdk/lib/request.js:683:14)
at Request.transition (/var/runtime/node_modules/aws-sdk/lib/request.js:22:10)
at AcceptorStateMachine.runTo (/var/runtime/node_modules/aws-sdk/lib/state_machine.js:14:12)
at /var/runtime/node_modules/aws-sdk/lib/state_machine.js:26:10
at Request.<anonymous> (/var/runtime/node_modules/aws-sdk/lib/request.js:38:9)
at Request.<anonymous> (/var/runtime/node_modules/aws-sdk/lib/request.js:685:12)
at Request.callListeners (/var/runtime/node_modules/aws-sdk/lib/sequential_executor.js:116:18)
message: 'Access Denied',
code: 'AccessDenied',
region: null,
time: 2019-11-04T11:32:40.056Z,
requestId: '8F7360D2A816BF54',
extendedRequestId: 'yGXP21UJARJfGq7uz/Pr8JZiX0flImx3e11PL398cFae+S79rWp5dH7G9m2zmYAVysbFQvBChiI=',
cfId: undefined,
statusCode: 403,
retryable: false,
retryDelay: 25.314823366706207 }

Мы также видели уведомление об интерфейсе пользователя:

Чтобы включить репликацию тегов объектов, политики IAM, используемые для межрегиональной репликациидолжны быть обновлены, если они были созданы до введения тегов объекта.

Answer 1

Мы столкнулись с этой AccessDenied ошибкой

, нам пришлось включить дополнительные политики для нашей роли IAM:

"Action": [
                "s3:PutObject",
                "s3:GetObjectAcl",
                "s3:GetObject",
                "s3:GetObjectTagging",
                "s3:PutObjectTagging",
                "s3:PutObjectAcl"
],

, поскольку вы видите, что существуют специальные политики для GetObjectTagging и PutObjectTagging