Zugriff verweigert, wenn zwischen s3-Buckets auf verschiedenen AWS-Konten synchronisiert wird

Ich versuche, die Synchronisierung zwischen zwei Buckets auf verschiedenen AWS-Konten einzurichten.

Ich habe cpgearbeitet mit:

@ubuntu:~$ s3cmd cp -v s3://src/dir/ s3://dest/folder --recursive

Ich bin der Benutzer, der besitzt /src/dirund ich habe hinzugefügt:

{
"Version": "2012-10-17",
"Id": "Policy1477299702471",
"Statement": [
    {
        "Sid": "Stmt1477299696163",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::awsid:user/name"
        },
        "Action": "s3:*",
        "Resource": "arn:aws:s3:::bucket/*"
    }
]}

Zur Bucket-Berechtigungsrichtlinie für den Test-Bucket.

Jetzt bin ich nach aws syncder Arbeit, da die Verwendung s3 cpfür die Verwendung mit Cron nicht empfohlen wird.

Ich habe es versucht

user@ubuntu:~$ aws s3 sync --dryrun s3://src/ s3://dest/ --region eu-central-1

aber ich bekomme Zugang verweigert:

Schwerwiegender Fehler: Beim Aufrufen der ListObjects-Operation ist ein Fehler aufgetreten (AccessDenied): Zugriff verweigert

Wie kann ich den Zugriff verweigern, wenn dies der Benutzer ist, dem der Bucket gehört, und die Synchronisierung ausführen?

Die Ursache für Ihren ListObjectsFehler ist, dass Sie die Berechtigung zum Zugriff auf den Inhalt Ihres Buckets ( arn:aws:s3:::bucket/*) zugewiesen haben , dem Bucket selbst jedoch keine Berechtigungen erteilt haben ( arn:aws:s3:::bucket). Der ListObjectsBefehl erfordert Zugriff auf den Bucket.

Um dies zu testen, habe ich Folgendes getan:

• Verwendete zwei AWS-Konten: Konto A, Konto B.
• Erstellt bucket-ain Konto A.
• Erstellt bucket-bin Konto B.
• Erstellt einen IAM-Benutzer user-ain Konto A mit Zugriffsberechtigungenbucket-a

• Eine Bucket-Richtlinie wurde hinzugefügt zu bucket-b:

  {
    "Id": "CopyBuckets",
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "Stmt1",
        "Action": "s3:*",
        "Effect": "Allow",
        "Resource": [
          "arn:aws:s3:::bucket-b",
          "arn:aws:s3:::bucket-b/*"
        ],
        "Principal": {
          "AWS": [
            "arn:aws:iam::<account-a-id>:user/user-a"
          ]
        }
      }
    ]
  }
  

Ich habe dann die Synchronisierung mithilfe user-avon Konto A ausgelöst :

aws s3 sync s3://bucket-a s3://bucket-b --profile user-a

Es hat erfolgreich funktioniert.