使用 Heroku 和 Django 在 AWS S3 上拒绝媒体文件的权限

Question

为了让用户升级我的django 项目中的一些图像，我决定使用 AWS S3 存储桶。

我已经学习了几个教程，我的媒体存储后端似乎一切都很好，因为我可以看到我的存储桶上的更新文件。

问题是网站中没有提供图片。当我尝试打开它时，会出现一个简单的 XML，显示“拒绝访问”错误：

<Error>
    <Code>AccessDenied</Code>
    <Message>Access Denied</Message>
    <RequestId>33BFF888CD1CA014</RequestId>
    <HostId>UEeWZpvsQzOoIvq9uSz7Xqo7KAFhHmsPsXxEGwxaDW6V1mM2B0EccXSMXj0NXCnbi+VlwlL9d00=</HostId>
</Error>

一些可能有用的信息：

1. 我的 IAM 用户位于具有 AmazonS3FullAccess 策略的组中；
2. 我已尝试启用对我的存储桶的公开访问，但没有成功；
3. 我的存储桶位于 us-east-2 区域；
4. 我根据thisheroku教程更新了bucket CORS配置。

你知道什么可能导致这个错误吗？

非常感谢！

Answer 1

默认情况下，所有存储桶和对象都是私有的。要启用对图像的公开访问，您必须设置 存储桶策略 以启用该功能：

• Granting Read-Only Permission to an Anonymous User

例如：

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Sid":"PublicRead",
      "Effect":"Allow",
      "Principal": "*",
      "Action":["s3:GetObject"],
      "Resource":["arn:aws:s3:::awsexamplebucket1/*"]
    }
  ]
}

您可以使用aws:Referer 条件进一步限制可从您的网站访问的政策。但请注意，aws:Referer 的使用并不是限制仅从您的域访问存储桶的防弹解决方案，它可以很容易地规避。

您还必须禁用阻止 public access settings。

如果您不想公开您的存储桶，您可以在存储桶前面使用 CloudFront 来提供对图像的公开访问：

• Amazon S3 + Amazon CloudFront: A Match Made in the Cloud