AWS CLI v2 中 PutObject 操作权限问题的分析与解决

在 AWS CLI v2 版本中，用户在执行 S3 兼容 API 的 PutObject 操作时遇到了"Access Denied"错误。这个问题看似是权限问题，实则与 AWS CLI v2 引入的校验和计算机制有关。

问题现象

用户在使用以下命令上传文件到 S3 兼容存储时：

aws --endpoint-url=$ENDPOINT s3 cp loadbalancer-report.json s3://$BUCKET/data/"$DATE"/loadbalancer-report.json

系统返回了权限拒绝错误：

upload failed: ./loadbalancer-report.json to s3://$BUCKET/data/"$DATE"/loadbalancer-report.json 
An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

问题本质

这个问题的根源在于 AWS CLI v2 默认启用了请求校验和计算功能。当与某些 S3 兼容存储服务交互时，如果服务端不支持或不正确处理校验和头部，可能会导致看似权限问题的错误响应。

解决方案

有两种可行的解决方法：

1. 设置环境变量：通过设置环境变量禁用校验和计算

export AWS_REQUEST_CHECKSUM_CALCULATION=WHEN_REQUIRED

2. 使用配置选项：在 AWS CLI 配置文件中添加以下设置

[default]
request_checksum_calculation = WHEN_REQUIRED

技术背景

AWS CLI v2 为了提高数据传输的可靠性，默认会对所有请求计算校验和。这一机制在标准 AWS S3 服务上工作良好，但在与某些 S3 兼容存储服务交互时可能会出现问题：

1. 校验和头部可能不被兼容服务识别
2. 服务端可能返回错误的错误代码（如 AccessDenied 而非 InvalidRequest）
3. 校验和计算方式可能与服务端实现不一致

最佳实践建议

1. 对于 S3 兼容存储服务，建议将校验和计算设置为 WHEN_REQUIRED
2. 在调试此类问题时，可先尝试禁用校验和计算以确认问题根源
3. 对于关键业务数据，建议在应用层实现额外的数据完整性检查

总结

这个案例展示了 AWS CLI v2 与 S3 兼容存储服务交互时可能出现的一个典型问题。通过理解 AWS CLI 的校验和机制，我们可以快速定位并解决这类看似权限问题实则兼容性问题的故障。这也提醒我们在使用兼容 API 时需要关注客户端与服务端特性的匹配程度。