Доступ AWS S3 запрещен при получении изображения по URL-адресу

Я работаю над AWS EC2 Ubuntu Machine и пытаюсь получить изображение из AWS S3, но после этого мне была показана следующая ошибка.

<Error>
<Code>InvalidArgument</Code>
<Message>
Requests specifying Server Side Encryption with AWS KMS managed keys require AWS Signature Version 4.
</Message>
<ArgumentName>Authorization</ArgumentName>
<ArgumentValue>null</ArgumentValue>
<RequestId>7C8B4BF1CE2FDC9E</RequestId>
<HostId>
/L5kjuOET4XFgGter2eFHX+aRSvVm/7VVmIBqQE/oMLeQZ1ditSMZuHPOlsMaKi8hYRnGilTqZY=
</HostId>
</Error>

Вот моя политика в bucket

{
 "Version": "2012-10-17",
 "Id": "Policy1441213815928",
 "Statement": [
  {
   "Sid": "Stmt1441213813464",
   "Effect": "Allow",
   "Principal": "*",
   "Action": "s3:GetObject",
   "Resource": "arn:aws:s3:::mytest.sample/*"
  }
 ]
}

введите описание изображения здесь

Вот код

require 'aws-autoloader.php';

$credentials = new Aws\Credentials\Credentials('key', 'key');
$bucketName = "mytest.sample";
$s3 = new Aws\S3\S3Client([
    'signature' => 'v4',
    'version' => 'latest',
    'region' => 'ap-southeast-1',
    'credentials' => $credentials,
    'http' => [
        'verify' => '/home/ubuntu/cacert.pem'
    ],
    'Statement' => [
        'Action ' => "*",
    ],

  ]);

$result = $s3->getObject(array(
'Bucket' => $bucketName,
'Key' => 'about_us.jpg',
    ));

Html

<img src="<?php echo $result['@metadata']['effectiveUri']; ?>" />

Изменить для Michael - sqlbot: здесь я использую KMS по умолчанию.

   try {
        $result = $this->Amazon->S3->putObject(array(
            'Bucket' => 'mytest.sample',
            'ACL' => 'authenticated-read',
            'Key' =>  $newfilename,
            'ServerSideEncryption' => 'aws:kms',
            'SourceFile' => $filepath,
            'ContentType' => mime_content_type($filepath),
            'debug' => [
                'logfn' => function ($msg) {
                    echo $msg . "\n";
                },
                'stream_size' => 0,
                'scrub_auth' => true,
                'http' => true,
            ],
        ));
    } catch (S3Exception $e) {
        echo $e->getMessage() . "\n";
    }

сообщите мне, если вам нужно больше.

Ответы

Ответ 1

Я также столкнулся с этой проблемой с ключом aws:kms encyrption, я предлагаю, чтобы, если вы хотели использовать ключ kms, вам нужно создать kms key в IAM section of AWS Console. Я обожаю рекомендуемое шифрование на стороне сервера AES256, здесь S3 автоматически шифрует ваши данные во время размещения и дешифрования при получении объекта. Пожалуйста, перейдите по ссылке: Шифрование на стороне сервера S3 с AES256

Мое решение - это изменение этой строки 'ServerSideEncryption' => 'aws:kms' with 'ServerSideEncryption' => 'AES256'

 try {
    $result = $this->Amazon->S3->putObject(array(
        'Bucket' => 'mytest.sample',
        'ACL' => 'authenticated-read',
        'Key' =>  $newfilename,
        'ServerSideEncryption' => 'AES256',
        'SourceFile' => $filepath,
        'ContentType' => mime_content_type($filepath),
        'debug' => [
            'logfn' => function ($msg) {
                echo $msg . "\n";
            },
            'stream_size' => 0,
            'scrub_auth' => true,
            'http' => true,
        ],
    ));
} catch (S3Exception $e) {
    echo $e->getMessage() . "\n";
}

Пожалуйста, также обновите свою политику ведра с помощью json, это предотвратит загрузку объекта с помощью AES256 encryption

{
        "Sid": "DenyUnEncryptedObjectUploads",
        "Effect": "Deny",
        "Principal": "*",
        "Action": "s3:PutObject",
        "Resource": "arn:aws:s3:::yourbucketname/*",
        "Condition": {
            "StringNotEquals": {
                "s3:x-amz-server-side-encryption": "AES256"
            }
        }
    }

Ответ 2

PHP sdk v2

  • Пакет учетных данных Aws\Common\Credentials
  • для создания S3Client вам понадобится factory

Попробуйте что-то вроде этого

use Aws\S3\S3Client;
use Aws\Common\Credentials\Credentials;

$credentials = new Credentials('YOUR_ACCESS_KEY', 'YOUR_SECRET_KEY');

// Instantiate the S3 client with your AWS credentials
$s3Client = S3Client::factory(array(
    'signature' => 'v4',
    'region' => 'ap-southeast-1',
    'credentials' => $credentials,
    .....
  ]);
)

Если это не работает, вы можете попытаться явно объявить объект SignatureV4

use Aws\S3\S3Client;
use Aws\Common\Credentials\Credentials;
use Aws\Common\Signature\SignatureV4;

$credentials = new Credentials('YOUR_ACCESS_KEY', 'YOUR_SECRET_KEY');

// Instantiate the S3 client with your AWS credentials
$s3Client = S3Client::factory(array(
    'signature' => new SignatureV4(),
    'region' => 'ap-southeast-1',
    'credentials' => $credentials,
    .....
  ]);
)

Если вы переходите на sdk v3

  • Вы должны иметь signature_version (вместо signature) в качестве параметра при объявлении клиента s3
  • Statement не является допустимым параметром (http://docs.aws.amazon.com/aws-sdk-php/v3/guide/guide/configuration.html#signature-version)
  • если вы можете включить параметр debug, чтобы получить больше результатов

Это будет выглядеть как

$s3 = new Aws\S3\S3Client([
    'signature_version' => 'v4',
    'version' => 'latest',
    'region' => 'ap-southeast-1',
    'credentials' => $credentials,
    'http' => [
        'verify' => '/home/ubuntu/cacert.pem'
    ],
    'debug'   => true

  ]);

см. полный список доступных параметров