1

Estos son mis permisos:

{
"Version": "2012-10-17",
"Id": "http referer policy example",
"Statement": [
    {
        "Sid": "Allow get requests originating from transportool-test.herokuapp.com and localhost.",
        "Effect": "Allow",
        "Principal": "*",
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::mi-dominio/*",
        "Condition": {
            "StringLike": {
                "aws:Referer": [
                    "https://mi-dominio.com/*",
                    "http://localhost/*",
                    "http://127.0.0.1:8000/*"
                ]
            }
        }
    }
]
  }

Y los permisos que tengo son:

 Bucket owner (your AWS account)
    List, Write
    Read, Write

 S3 log delivery group
   List, Write
   Read, Write

Everyone (public access) -> Sin permisos
Authenticated users group (anyone with an AWS account)->Sin permisos

Subo los archivos sin problemas pero a la hora de obtenerlos vía recibo un 403:

   This XML file does not appear to have any style information associated with it. The document tree is shown below.
 <Error>
   <Code>AccessDenied</Code>
   <Message>Access Denied</Message>
   <RequestId>8GW3XXXP2RMKC1VF1AQ</RequestId>
   <HostId>kyP9qu1o/SRD7fgmoFEpTqUQWDU6lYC/ykw/0SuiLUxtKudf/pesnr4imRskLyprdBy9zsOTUjzyVddddddTI=</HostId>
  </Error>

Esta es mi función para recibirlo, hay que tener en cuenta de que las KEYS y todas las credenciales están correctas, ya que al subir otros archivos con la directiva ACL="public-read" no tengo problema ni al subirlos ni al obtenerlos. Debe ser algo de permisos que se me escapa. He probado también a poner los permisos públicos de Read en Everyone (public access) y en Authenticated users group (anyone with an AWS account) y nada.

    BUCKET_NAME = settings.AWS_STORAGE_BUCKET_NAME
    BUCKET_FILE_NAME = uploadFiles.path
    
    print(BUCKET_NAME)
    print(BUCKET_FILE_NAME)
    
    s3 = boto3.client('s3',
                      region_name=settings.AWS_REGION_HOST_NAME,
                      aws_access_key_id=settings.AWS_ACCESS_KEY_ID,
                      aws_secret_access_key=settings.AWS_SECRET_ACCESS_KEY)
    
    s3_response_object = s3.get_object(Bucket=BUCKET_NAME, Key=BUCKET_FILE_NAME)
    
    print("s3_response_object")
    print(s3_response_object)       
    
    s3_response_object['Body'] = s3_response_object['Body'].read().decode("ISO-8859-1")
    s3_response_object['Key'] = settings.AWS_ACCESS_KEY_ID + '/' + settings.AWS_SECRET_ACCESS_KEY
    
    
    print(s3_response_object['Key'])
    
    
    location = s3.get_bucket_location(Bucket=BUCKET_NAME)['LocationConstraint']
    
    print(location)

    url = "https://s3-%s.amazonaws.com/%s/%s" % (location, BUCKET_NAME, BUCKET_FILE_NAME)
    
    
    print(url)

    s3_response_object['URL'] = url
    

    result = {}
    response_data = json.dumps(s3_response_object, default=myconverter)
    mimetype = 'application/json'
    return HttpResponse(response_data, mimetype)

1 respuesta 1

2

Esta línea recupera los archivos accediendo a S3 no de forma pública, sino a través de credenciales de AWS:

s3_response_object = s3.get_object(Bucket=BUCKET_NAME, Key=BUCKET_FILE_NAME)

Este mecanismo no aplica en los permisos que has dado

{
    "Version": "2012-10-17",
    "Id": "http referer policy example",
    "Statement": [
        {
            "Sid": "Allow get requests originating from transportool-test.herokuapp.com and localhost.",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::mi-dominio/*",
            "Condition": {
                "StringLike": {
                    "aws:Referer": [
                        "https://mi-dominio.com/*",
                        "http://localhost/*",
                        "http://127.0.0.1:8000/*"
                    ]
                }
            }
        }
    ]
}

Ya que en este caso debes dar permisos de accesso a la cuenta AWS o a los servicios AWS que vayan a acceder al bucket.

"Version": "2012-10-17",
"Statement": [
    {
        "Action": [
            "s3:GetObject",
        ],
        "Resource": [
            "arn:aws:s3:::mi-dominio/*",
        ],
        "Effect": "Allow"
    }
]

Nota que en esta versión de la política he eliminado el campo "Condition". En restricciones entre servicios no se tiene en cuenta el aws::Referer. El ejemplo en el que te has basado trata de peticiones directas a S3 vía HTTP, no por boto3.

5
  • Pero si elimino el campo "Condition", cualquier persona tendrá acceso al archivo. La idea es la contraria, que solo se pueda acceder a ese archivo con las credenciales de usuario, o como la idea de este caso, desde el backend de "mi-dominio.com*, olvidando localhost, ya que lo he puesto en el ejemplo pero no tiene sentido ponerlo al ser un agujero de seguridad. Commented el 17 abr. 2023 a las 9:34
  • 1
    @MiguelHerrerosCejas Son cosas diferentes. El campo "condition" que has programado se aplica para las peticiones HTTP y HTTPS, boto3 no descarga por esa vía sino que crea una conexión entre servicios de AWS. Esta conexión no tiene url de origen y por eso no te funciona el Referer. Si vas a usar boto3 puedes dejar el bucket como privado porque nadie va a necesitar conexión directa via http
    – eferion
    Commented el 17 abr. 2023 a las 10:19
  • 1
    Boto3 no debe ejecutarse nunca en el frontend, debe formar parte del backend únicamente. En ese caso, es el backend el que se descarga la imagen para ofrecersela al frontend (como una suerte de proxy)
    – eferion
    Commented el 17 abr. 2023 a las 10:21
  • Buenas Eferion. Cuando yo me conecto con Boto, formo lo que es la url del archivo en backend, la cual se la paso a frontend para que la abra o la descargue. El tema es que cuadno se la paso a frontend, se puede obtener esa url y al no tener restricciones, cualquiera puede acceder a ese archivo desde cualquier navegador. Commented el 17 abr. 2023 a las 11:39
  • 1
    @MiguelHerrerosCejas en esta línea s3_response_object = s3.get_object(Bucket=BUCKET_NAME, Key=BUCKET_FILE_NAME) estás descargándote el archivo en el backend ... seguramente sea ahí donde estás obteniendo el error. Si añades la política que te he dicho al servicio que ejecuta el backend es bastante probable que todo te funcione ... aunque no tiene sentido que el backend ofrezca a la vez una url al archivo y el contenido de dicho archivo
    – eferion
    Commented el 17 abr. 2023 a las 12:53

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.