给定一个 S3 对象，我如何知道使用哪个 STS 密钥上传它？
解释我的用例场景（仅供参考）：
在我的应用程序中，我允许我的用户使用 Javascript SDK 将数据上传到 s3。为了启动 SDK，我向我的用户提供了一个 STS token，有效期为 15 分钟。
用户应该使用该密钥一次上传恰好 1 个数据，我的应用程序稍后会处理这些数据。
问题是一旦我发出这个令牌并把它交给用户，一些恶意用户可能会尝试向我的存储桶上传许多随机的大数据。
由于只是看到一个对象，我无法将该数据与用户相关联，我不知道谁是罪魁祸首。如果通过某种 magic 方法我可以要求 aws 给我用于上传此数据的密钥，那么我可以交叉匹配我已将其发给的用户的密钥，从而找到我的罪魁祸首。
metadata，因为恶意用户不会提供它。【问题讨论】：
启用AWS CloudTrail 和/或启用S3 server logs 应该为您提供适当的日志记录以跟踪此信息。
【讨论】：
getSessionToken() 来获取我的令牌，这些令牌不属于这些类别。有什么建议吗？
GetSessionToken()，因为生成这些令牌本身的 IAM 角色有权仅将对象上传到特定的存储桶和密钥，因此所有生成的临时信用也受到这些限制。 GetSessionToken 似乎是最基本的令牌形式，根本不赋予临时信用任何权力。另一方面，AssumedRole 在这一点上显得笨重且不必要。我喜欢 S3 日志的想法，但我看不到包含 STS 密钥的日志。
AssumeRole 权限才能生成令牌。所以我今天继续使用AssumeRole 并相应地创建了用户。这也解决了您为什么能够使用实例角色获取会话令牌的谜团。感谢您的帮助:)