Heroku上のRailsアプリからAmazon S3に画像をアップロードしようとするとAccess Denied(403 Forbidden)のエラーが発生する

Question

Ruby、Solidus、Rails、AWS、Herokuの知識が少なく、手詰まりとなっています。
調べ方や「自分ならこれを試してみる」といった情報でも頂けると嬉しいです。
足りない情報がありましたら教えてください。

前提・実現したいこと

Solidusフレームワークを利用したECサイトを作成しようと考えています。
Herokuでは画像ファイルがサーバー再起動時に削除されてしまうので、S3に商品画像をアップロードしたいです。
SolidusのWikiをもとに設定し、管理画面からアップロードするとAccess Denied(403 Forbidden)のエラーが発生し、バケットには画像がアップロードされていません。
対象のIAMユーザーが含まれるグループにはAmazonS3FullAccessポリシーをアタッチしています。

発生している問題・エラーメッセージ

管理画面から画像をアップロードしようとしたときのスクリーンショットは以下になります。
Server failed to process the imageと表示されています。

HerokuのLogは以下のようになっており、403 Forbiddenと出ています。

$ heroku logs -t
2019-01-21T09:14:20.223476+00:00 app[web.1]: [paperclip] saving spree/images/attachments/000/000/049/original/test.png
2019-01-21T09:14:27.338762+00:00 heroku[router]: at=info method=POST path="/admin/products/test/images" host=example.herokuapp.com request_id=... fwd=... dyno=web.1 connect=0ms service=16483ms status=500 bytes=1827 protocol=https
2019-01-21T09:14:27.334216+00:00 app[web.1]:    (1.6ms)  ROLLBACK
2019-01-21T09:14:27.334891+00:00 app[web.1]: Completed 500 Internal Server Error in 8295ms (ActiveRecord: 38.0ms)
2019-01-21T09:14:27.337274+00:00 app[web.1]:
2019-01-21T09:14:27.337315+00:00 app[web.1]: Excon::Error::Forbidden (Expected(200) <=> Actual(403 Forbidden)
2019-01-21T09:14:27.337318+00:00 app[web.1]: excon.error.response
2019-01-21T09:14:27.337320+00:00 app[web.1]: :body          => "<?xml version=\"1.0\" encoding=\"UTF-8\"?>\n<Error><Code>AccessDenied</Code><Message>Access Denied</Message><RequestId>...</RequestId><HostId>...</HostId></Error>"
2019-01-21T09:14:27.337322+00:00 app[web.1]: :cookies       => [
2019-01-21T09:14:27.337323+00:00 app[web.1]: ]
2019-01-21T09:14:27.337325+00:00 app[web.1]: :headers       => {
2019-01-21T09:14:27.337326+00:00 app[web.1]: "Connection"       => "close"
2019-01-21T09:14:27.337328+00:00 app[web.1]: "Content-Type"     => "application/xml"
2019-01-21T09:14:27.337330+00:00 app[web.1]: "Date"             => "Mon, 21 Jan 2019 09:14:25 GMT"
2019-01-21T09:14:27.337331+00:00 app[web.1]: "Server"           => "AmazonS3"
2019-01-21T09:14:27.337333+00:00 app[web.1]: "x-amz-id-2"       => ...
2019-01-21T09:14:27.337334+00:00 app[web.1]: "x-amz-request-id" => ...
2019-01-21T09:14:27.337336+00:00 app[web.1]: }
2019-01-21T09:14:27.337337+00:00 app[web.1]: :host          => "example.s3-ap-northeast-1.amazonaws.com"
2019-01-21T09:14:27.337339+00:00 app[web.1]: :local_address => ...
2019-01-21T09:14:27.337340+00:00 app[web.1]: :local_port    => ...
2019-01-21T09:14:27.337342+00:00 app[web.1]: :path          => "/spree/images/attachments/000/000/049/original/test.png"
2019-01-21T09:14:27.337344+00:00 app[web.1]: :port          => 443
2019-01-21T09:14:27.337346+00:00 app[web.1]: :reason_phrase => "Forbidden"
2019-01-21T09:14:27.337347+00:00 app[web.1]: :remote_ip     => ...
2019-01-21T09:14:27.337349+00:00 app[web.1]: :status        => 403
2019-01-21T09:14:27.337351+00:00 app[web.1]: :status_line   => "HTTP/1.1 403 Forbidden\r\n"
2019-01-21T09:14:27.337352+00:00 app[web.1]: ):

該当のソースコード

#config/initializer/paperclip.rb

if ENV['AWS_ACCESS_KEY_ID']
  Paperclip::Attachment.default_options.merge!(
    storage: :fog,
    fog_credentials: {
      provider: 'AWS',
      aws_access_key_id: ENV['AWS_ACCESS_KEY_ID'],
      aws_secret_access_key: ENV['AWS_SECRET_ACCESS_KEY'],
      region: ENV['S3_REGION_NAME']
    },
    fog_directory: ENV["S3_BUCKET_NAME"]
  )

  Spree::Image.attachment_definitions[:attachment].delete(:url)
  Spree::Image.attachment_definitions[:attachment].delete(:path)
end

試したこと

paperclip.rbファイルのENV[]と記載されている部分を直書きしてみる→同じエラーが発生
awscliをインストールし、同じアクセスキーID、シークレット、リージョン名、バケット名で同じファイルをアップロードしてみる
→成功。ただし--acl public-readオプションを追加すると失敗。

$ aws s3 cp test.png s3://example/ --profile=default
upload: ./test.png to s3://example/test.png
$ aws s3 cp test.png s3://example/ --profile=default --acl public-read
upload failed: ./test.png to s3://example/test.png An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

対象のIAMユーザーにAdministratorAccessポリシーをアタッチして再度アップロードをしてみる→同じエラーが発生

補足情報（FW/ツールのバージョンなど）

source 'https://rubygems.org'
git_source(:github) { |repo| "https://github.com/#{repo}.git" }

ruby '2.4.1'

# Bundle edge Rails instead: gem 'rails', github: 'rails/rails'
gem 'rails', '~> 5.2.0'
# Use Puma as the app server
gem 'puma', '~> 3.11'
# Use SCSS for stylesheets
gem 'sass-rails', '~> 5.0'
# Use Uglifier as compressor for JavaScript assets
gem 'uglifier', '>= 1.3.0'
# See https://github.com/rails/execjs#readme for more supported runtimes
# gem 'mini_racer', platforms: :ruby

# Use CoffeeScript for .coffee assets and views
gem 'coffee-rails', '~> 4.2'
# Turbolinks makes navigating your web application faster. Read more: https://github.com/turbolinks/turbolinks
gem 'turbolinks', '~> 5'
# Build JSON APIs with ease. Read more: https://github.com/rails/jbuilder
gem 'jbuilder', '~> 2.5'
# Use Redis adapter to run Action Cable in production
# gem 'redis', '~> 4.0'
# Use ActiveModel has_secure_password
# gem 'bcrypt', '~> 3.1.7'

# Use ActiveStorage variant
# gem 'mini_magick', '~> 4.8'

# Use Capistrano for deployment
# gem 'capistrano-rails', group: :development

# Reduces boot times through caching; required in config/boot.rb
gem 'bootsnap', '>= 1.1.0', require: false

group :development, :test do
  # Call 'byebug' anywhere in the code to stop execution and get a debugger console
  gem 'byebug', platforms: [:mri, :mingw, :x64_mingw]
end

group :development do
  # Access an interactive console on exception pages or by calling 'console' anywhere in the code.
  gem 'web-console', '>= 3.3.0'
  gem 'listen', '>= 3.0.5', '< 3.2'
  # Spring speeds up development by keeping your application running in the background. Read more: https://github.com/rails/spring
  gem 'spring'
  gem 'spring-watcher-listen', '~> 2.0.0'
  # Use sqlite3 as the database for Active Record
  gem 'sqlite3'
end

group :test do
  # Adds support for Capybara system testing and selenium driver
  gem 'capybara', '>= 2.15', '< 4.0'
  gem 'selenium-webdriver'
  # Easy installation and use of chromedriver to run system tests with Chrome
  gem 'chromedriver-helper'
end

group :production do
  gem 'pg', '0.20.0'
  gem 'rails_12factor'
end

gem 'paperclip'
gem 'solidus'
gem 'solidus_auth_devise'
gem 'fog-aws'

# Windows does not include zoneinfo files, so bundle the tzinfo-data gem
gem 'tzinfo-data', platforms: [:mingw, :mswin, :x64_mingw, :jruby]

Answer 1

AWSのアクセス管理の設定に問題がありました。
IAMユーザーへのAdministratorAccessポリシーの付与だけではPutObject,GetObjectアクションの許可を行うことはできず、バケット側のパブリックアクセス設定、バケットポリシーの変更をすることでアップロードと閲覧が可能になりました。

以下が手順になります。

---

１、パブリックアクセス設定で以下３つの設定をOFFにする。
・新規のパブリック ACL と、パブリックオブジェクトのアップロードをブロックする (推奨)
・新規のパブリックバケットポリシーをブロックする (推奨)
・バケットにパブリックポリシーがある場合、パブリックアクセスとクロスアカウントアクセスをブロックする (推奨)

２、バケットポリシーで以下を記載する（bucketname部分に自分のバケット名）

{
    "Version": "2012-10-17",
    "Id": "PublicRead",
    "Statement": [
        {
            "Sid": "ReadAccess",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        }
    ]
}

３、パブリックアクセス設定で以下の設定をONにする。（一応）
・新規のパブリックバケットポリシーをブロックする (推奨)

---

ただ、推奨設定をOFFにしたままの状態で、これで問題ないのかが分からないので、
調査の上、判明次第追記いたします。