Amazon S3-Datei Berechtigungen, Zugriff Verweigert beim kopieren von einem anderen Konto

Habe ich eine Reihe von video-Dateien, die kopiert wurden von einem AWS-Eimer von einem anderen Konto auf mein Konto in meinem eigenen Eimer.

Bin ich laufen in ein problem, nun mit allen Dateien, wo ich bin Empfang der Zugriff Verweigert Fehler, wenn ich versuche, Sie alle Dateien public.

Speziell, ich login zu mein AWS-Konto, gehen Sie in die S3, einen Drilldown durch die Ordner-Strukturen zu suchen, einen der Video-Dateien.

Wenn ich mir diese specificfile, die Registerkarte Berechtigungen auf die Dateien zeigt keine Berechtigungen zugewiesen sind, zu jedem. Keine Benutzer -, Gruppen-oder system-Berechtigungen zugewiesen wurden.

Unten auf der Registerkarte "Berechtigungen", sehe ich eine kleine box, die sagt: "Fehler: Zugriff Verweigert". Ich kann nichts ändern die Datei. Ich kann nicht hinzufügen von meta-Daten. Ich kann nicht hinzufügen eines Benutzers zu der Datei. Ich kann die Datei Public.

Gibt es eine Möglichkeit, kann ich die Kontrolle über diese Dateien, so dass ich Sie öffentlich? Es gibt über 15.000 Dateien /um 60GBs von Dateien. Ich möchte vermeiden, das herunterladen und reuploading alle Dateien.

Mit etwas Hilfe und Anregungen von den Leuten hier habe ich versucht, die folgenden. Habe ich einen neuen Ordner in meinem Eimer mit dem Namen "media".

Habe ich versucht diesen Befehl:

aws s3 cp s3://mybucket/2014/09/17/thumb.jpg s3://mybucket/media --grants read=uri=http://acs.amazonaws.com/groups/global/AllUsers full=emailaddress=my_aws_account_email_address

Erhalte ich einen fatal error 403 beim Aufruf der HeadObject Betrieb: Verboten.

Verwenden Sie die AWS CLI zu tun, die von der Kommandozeile aus : docs.aws.amazon.com/cli/latest/userguide/using-s3-commands.html
ich sehe das --Optionen gewähren, sondern was ich bin nicht sicher, welcher Befehl zu verwenden? Ich will nicht zu kopieren, entfernen oder synchronisieren Sie Sie. Ich will einfach nur das anwenden der Berechtigungen auf die Datei. Ich denke, synchronisiert wäre, was ich will zu tun, weil, dass klingt nicht wie es wäre, die Datei verschieben oder zu entfernen.
warum denkst du, die OP wird über Berechtigungen zu tun, die von der CLI? Sie müssen konfigurieren Sie die CLI mit AWS-Anmeldeinformationen. Wenn Sie verwenden die gleichen Anmeldeinformationen als diejenigen, die Sie verwenden, um melden Sie sich bei der AWS-Konsole, die Chancen sind Sie, laufen Sie in die gleiche Erlaubnis Fragen.
Ich bemerkte den "Besitzer" der Datei ist noch von dem Konto, das ich habe diese Dateien aus. Wie kann ich das überschreiben? Ist es möglich?
Du hast Recht. Ich konzentrierte mich mehr auf die 60-gb-Dateien, für die wollte er die Berechtigungen ändern, aber vermeiden wollte, wieder hochladen. Es gibt zwei Probleme dann. Mit freundlicher Genehmigung und für die anderen mit-CLI zu vermeiden, ihn zu gehen, obwohl alle Dateien manuell.

InformationsquelleAutor Robbiegod | 2017-05-01

22

Ein sehr Interessantes Rätsel! Glücklicherweise gibt es eine Lösung.

Zunächst ein Rückblick:
- Eimer Ein Konto Ein
- Bucket B in Account B
- Benutzer-Konto Ein, Kopien von Objekten zu Eimer B (mit entsprechende Berechtigungen zu tun)
- Objekte in Bucket B gehören immer noch zu Konto A und kann nicht zugegriffen werden, nach Konto B
Schaffte ich es zu reproduzieren und kann bestätigen, dass Benutzer in Konto B kann nicht auf die Datei zugreifen-auch nicht der root-Benutzer in Konto B!

Glücklicherweise Dinge, die behoben werden kann. Die aws s3 cp Befehl in der AWS Command Line Interface (CLI) können update-Berechtigungen für eine Datei beim kopieren auf den gleichen Namen. Jedoch auslösen diese, müssen Sie auch update etwas anderes, sonst erhalten Sie diese Fehlermeldung:

Diese Anforderung Kopie ist illegal, weil es versucht, um ein Objekt zu kopieren, um sich ohne änderung der Metadaten des Objekts verfügt, storage class, website umleiten Lage oder Verschlüsselung Attribute.

Daher die Berechtigungen aktualisiert werden kann, mit diesem Befehl:
```
aws s3 cp s3://my-bucket/s3://my-bucket/--recursive --acl bucket-owner-full-control --metadata "One=Two"
```
- Müssen von einem Konto Eines Benutzers, der über Zugriffsrechte auf die Objekte (z.B. der Benutzer, der Sie ursprünglich kopiert die Objekte in Bucket B)
- Den Inhalt der Metadaten ist nicht wichtig, aber notwendig, damit das update
- --acl bucket-owner-full-control wird die Erlaubnis erteilen, auf Konto B, so dass Sie werde in der Lage sein, die Objekte verwenden, die als normal
Endergebnis: Einen Eimer, die Sie verwenden können!
- Was, wenn Konto A erhält eine Zugriff verweigert Fehler beim ändern der Berechtigungen einer Datei hochgeladen Bucket B? Ist das ein berechtigungsfehler im Konto Ein oder-Konto B? Oder Eimer B?
- Die Berechtigungen werden in das Konto, das Eigentümer der Ressource (in diesem Fall, Eimer B). In Zukunft erstellen Sie bitte eine neue Frage anstatt zu Fragen, eine andere Frage in einem Kommentar.
- Danke! Es schien relevant, weil ich mich anpassen konnte, diese Antwort zu erteilen, die volle Kontrolle zu Konto B auf einem neuen hochladen. Googeln um für die, die mich hierher gebracht.
- Vielen Dank, sehr hilfreich!!! Während Sie folgende Anweisungen, um die cross-Konto PutObject-Betrieb arbeiten, stolperte ich über ein problem mit dem policy-Konfigurationen. Es funktioniert nur nach dem erlauben des "s3:PutObjectAcl" - Aktion in BEIDE Eimer Politik, als auch die Rolle der Politik. Ich vermute, dass es irgendwie sinnvoll ist, dass Sie brauchen, um ihm zu erlauben, auf beide Ressourcen-und user-Seite für cross-Konto-Operationen. Wenn die Ressource und Benutzer in der gleichen Konto, ist es in der Regel genug, damit einer der beiden.
- Ich habe einfach versucht, diese und --metadata ist nicht notwendig für die Lösung zu arbeiten. --acl bucket-owner-full-control ist ausreichend.
- Müssen wir dies ausführen jedes mal eine neue Datei hochgeladen wird?
- Die --metadata Teil ist erforderlich, wenn die Absicht ist, ändern Sie Berechtigungen auf ein Objekt, das bereits existiert, ansonsten wird die cp Befehl schlägt fehl, da wird nichts 'geändert'. Wenn ein neues Objekt kopiert wird (oder kopiert Sie aus einem anderen Ort), --metadata wäre nicht erforderlich.
- Eine ausführliche Erläuterung mit Beispielcode in Python finden Sie in diesem medium Artikel - medium.com/artificial-industry/... (geschrieben von mir)
- Rotenstein, aber was ist, wenn der Eimer ist gleich und wir sind mit copyobject() und zufällig Balg Fehler Diese Anforderung Kopie ist illegal, weil es versucht, um ein Objekt zu kopieren, um sich ohne änderung der Metadaten des Objekts verfügt, storage class, website umleiten Lage oder Verschlüsselung Attribute.
- Tatsächlich, ich hatte vor kurzem ein problem mit diesem zu sein, obwohl ich " änderung der Metadaten. Fühlen Sie sich frei, um erstellen Sie eine neue Frage mit den details und sehen, ob jemand helfen kann.
InformationsquelleAutor John Rotenstein

aws s3 cp s3://account1/s3://accountb/--recursive --acl bucket-owner-full-control

InformationsquelleAutor Achyuth

1

Falls jemand versucht, das gleiche zu tun, aber mit Hadoop/Spark Arbeit anstelle von AWS CLI.
- Schritt 1: Erteilen Sie die Benutzer in Konto die entsprechenden Berechtigungen zu kopieren
  Objekte Eimer, B. (erwähnt in der oben genannten Antwort)
- Schritt 2: Legen Sie die fs.s3a.acl.die option Standardkonfiguration verwenden Hadoop-Konfiguration. Diese kann in der conf-Datei oder im Programm:
  
  Conf-Datei:
  
  <property> <name>fs.s3a.acl.default</name> <description>Set a canned ACL for newly created and copied objects. Value may be Private, PublicRead, PublicReadWrite, AuthenticatedRead, LogDeliveryWrite, BucketOwnerRead, or BucketOwnerFullControl.</description> <value>$chooseOneFromDescription</value> </property>
  
  Programmatisch:
  
  spark.sparkContext.hadoopConfiguration.set("fs.s3a.acl.default", "BucketOwnerFullControl")
InformationsquelleAutor Durga P. Kapa

Richtig legen Sie die entsprechenden Berechtigungen für neu hinzugefügte Dateien, fügen Sie diese Eimer Politik:

[...]
{
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::123456789012::user/their-user"
    },
    "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl"
    ],
    "Resource": "arn:aws:s3:::my-bucket/*"
}

- Und set-ACL für neu erstellte Dateien in code. Python-Beispiel:

import boto3

client = boto3.client('s3')
local_file_path = '/home/me/data.csv'
bucket_name = 'my-bucket'
bucket_file_path = 'exports/data.csv'
client.upload_file(
    local_file_path,
    bucket_name, 
    bucket_file_path, 
    ExtraArgs={'ACL':'bucket-owner-full-control'}
)

Quelle: https://medium.com/artificial-industry/how-to-download-files-that-others-put-in-your-aws-s3-bucket-2269e20ed041 (disclaimer: von mir geschrieben)

InformationsquelleAutor Nino van Hooff

0

Ich fürchte, Sie werden nicht in der Lage zur übertragung des Eigentums, wie Sie es wünschen. Hier ist, was Sie haben:

Alten account kopiert Objekte in das neue Konto.

Den "richtigen" Weg, es zu tun (vorausgesetzt, Sie wollten, um das Eigentum auf den neuen account) wäre:

Neue Konto kopiert Objekte aus dem alten Konto.

Sehen den kleinen, aber wichtigen Unterschied? S3 docs Art erklären.

Ich glaube, Sie könnten mit ihm Weg erhalten, ohne download die ganze Sache nur kopieren Sie alle Dateien in den gleichen Eimer, und dann löschen der alten Dateien. Stellen Sie sicher, Sie können ändern Sie die Berechtigungen nach dem kopieren. Dies sollte sparen Sie etwas Geld zu, da Sie nicht haben zu zahlen für die Daten-transfer-Kosten, alles herunterladen.
- Ja, ich sehe. Danke. Ich war nicht in der Lage zu sein gegeben "Eimer" Zugriff auf die anderen Konten Eimer, also mussten wir versuchen, es auf diese Weise. Ich werde versuchen, was Sie vorschlagen.
- Ich habe versucht, ein Bild downloaden mit Moltebeeren, aber auch das funktioniert nicht. Ich bekomme einen Fehler 403, Zugriff Verweigert. Ich habe versucht, ein cp-Befehl in der CLI, aber ich halten bekommen 403-Fehler auch tun. Nicht sicher, was meine Optionen sind jetzt. 🙁
- Ich dachte, Sie wäre in der Lage, einfach kopieren/und fügen Sie Ihre Dateien auf der AWS-Konsole selbst. Wenn Sie nicht herunterladen können Dateien aus dem Eimer, es sieht aus wie Sie haben nicht einmal GetObject Berechtigungen, nur ListBucket. Das würde tatsächlich Sinn machen, da GetObject ein Objekt die Berechtigung, und ListBucket ein Eimer Erlaubnis, und Sie besitzen den Eimer, aber nicht die Dateien. Wenn Sie bestätigen können, dass Sie Fragen müssen, der Besitzer des anderen AWS-Konto, um entweder neu, kopieren oder geben Sie den Zugriff.
InformationsquelleAutor Viccari
0

indem

--acl-Eimer-Besitzer-full-control
machte es zu arbeiten.
- kann u bieten einige weitere Details? Wo haben Sie das?
- Setzen Sie bitte, dass Sie nach Ihrem aws-s3 <Parameter> dann verwenden Sie die oben genannten
InformationsquelleAutor Barath Ravichander

Schreibe einen Kommentar

Du musst angemeldet sein, um einen Kommentar abzugeben.