Velero 使用 AWS 临时凭证时遇到 S3 存储桶访问问题的解决方案

问题背景

在使用 Helm 部署 Velero 时，配置了 AWS 临时凭证（包含 access key、secret key 和 session token）来访问 S3 存储桶。尽管凭证配置正确，但 Velero 仍无法访问存储桶，并返回"PermanentRedirect"错误，提示必须使用特定端点访问存储桶。

错误现象

Velero 日志显示以下关键错误信息：

api error PermanentRedirect: The bucket you are attempting to access must be addressed using the specified endpoint. Please send all future requests to this endpoint.

问题分析

1. 凭证配置验证：

   • 临时凭证包含 access key、secret key 和 session token
   • 凭证通过 Secret 资源挂载到 Velero 容器
   • 使用相同的凭证通过 AWS CLI 和 SDK 测试可以正常访问

2. Helm 配置检查：

   • 备份存储位置(BackupStorageLocation)配置了正确的区域(eu-west-2)
   • 提供了正确的存储桶名称和凭证引用
   • 插件版本尝试了 v1.9.2 和 v1.10.1 都有相同问题

3. 根本原因：

   • 存储桶名称"velero"是一个通用名称，实际不存在于用户账户下
   • 错误信息具有误导性，实际是权限问题而非端点配置问题
   • 当凭证没有访问特定存储桶权限时，AWS 返回了重定向错误而非预期的403禁止访问错误

解决方案

1. 确保使用正确的存储桶名称：

   • 每个 AWS 账户中的 S3 存储桶名称必须全局唯一
   • 避免使用通用名称如"velero"、"backup"等
   • 建议使用包含账户ID或特定前缀的命名方式

2. 验证存储桶所有权：

   • 使用 AWS CLI 执行 aws s3 ls s3://your-bucket-name 验证存储桶是否存在
   • 确保 IAM 角色/用户有该存储桶的访问权限

3. 正确的 Helm 值配置：

   backupStorageLocation:
     - name: cloudprovider-objectstorage
       provider: aws  # 使用"aws"而非"velero.io/aws"
       bucket: your-unique-bucket-name  # 确保使用唯一的存储桶名
       config:
         profile: default
         region: eu-west-2  # 与存储桶创建区域一致
   

4. 权限检查：

   • 确认 IAM 策略包含对目标存储桶的以下权限：
     • s3:ListBucket
     • s3:GetObject
     • s3:PutObject
     • s3:DeleteObject

经验总结

1. AWS S3 错误消息有时不能准确反映问题本质，需要结合多种验证手段
2. 临时凭证需要包含足够的权限，特别是当使用跨账户访问时
3. Velero 的 Helm chart 配置中，provider 名称应使用"aws"而非完整路径
4. 存储桶命名在 AWS 中必须全局唯一，建议建立命名规范
5. 在复杂场景下，可先使用 AWS CLI 验证凭证和权限，再配置 Velero

通过以上步骤，可以解决因存储桶名称冲突或权限不足导致的 Velero 访问 S3 存储桶失败的问题。在配置过程中，建议采用渐进式验证方法，先确保基础访问正常，再逐步完善 Velero 的各项功能配置。