Tengo una función lambda que usa un rol con el siguiente extracto de política
{ "Effect": "Allow", "Action": [ "s3:GetObject", "s3:ListBucket" ], "Resource": [ "arn:aws:s3:::ipwl-lambda-config/*", "arn:aws:s3:::ipwl-lambda-config" ] }La política de mi depósito se parece a la siguiente
{ "Version": "2012-10-17", "Statement": [ { "Sid": "DenyUnEncryptedObjectUploads", "Effect": "Deny", "Principal": { "AWS": "*" }, "Action": "s3:PutObject", "Resource": "arn:aws:s3:::ipwl-lambda-config/*", "Condition": { "StringNotEquals": { "s3:x-amz-server-side-encryption": "aws:kms" } } }, { "Sid": "AllowLambda", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::accountid:role/iam_for_lambda" }, "Action": [ "s3:ListBucket", "s3:GetObject" ], "Resource": [ "arn:aws:s3:::ipwl-lambda-config/*", "arn:aws:s3:::ipwl-lambda-config" ] } ] }Permití GetObject y ListBucket tanto en el rol como en la política del depósito. Sin embargo, cuando mi función se ejecuta
s3_obj = s3_res.Object(s3_bucket, s3_object)
yo obtengo
[ERROR] ClientError: Ocurrió un error (AccessDenied) al llamar a la operación GetObject: Access Denied
¿Qué más permisos tengo que agregar? El objeto está ahí, puedo obtenerlo cuando ejecuto el código localmente usando un rol de administrador.
Actualizar
Revisé para asegurarme de que los nombres de depósito y objeto son correctos docenas de veces. La excepción en realidad proviene de la segunda línea aquí de acuerdo con stacktrace
s3_res = boto3.resource('s3') s3_obj = s3_res.Object(s3_bucket, s3_object) data = s3_obj.get()['Body'].read()KMS solo debería ser un factor para PutObject. Tenemos una cuenta de soporte para que pueda consultar con ellos y actualizar con sus hallazgos.
Para descargar un objeto cifrado con KMS desde S3, no solo necesita poder obtener el objeto. También debe poder descifrar la clave de AWS KMS.
Este es un ejemplo de una política de IAM que debería tener su función de Lambda:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "s3get", "Effect": "Allow", "Action": "s3:GetObject", "Resource": "arn:aws:s3:::ipwl-lambda-config/*" }, { "Sid": "kmsdecrypt", "Effect": "Allow", "Action": "kms:Decrypt", "Resource": "arn:aws:kms:example-region-1:123456789012:key/example-key-id" } ] }La política de claves también debe permitir que el rol de IAM descifre la clave, algo como esto:
{ "Sid": "kmsdecrypt", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::123456789012:role/xyz" }, "Action": "kms:Decrypt", "Resource": "*" }