同一バケット内同一アカウントでファイルコピーしたのにAccessDeniedエラーになる

Question

rails6.1.0 / aws sdk v3

railsからですが、s3バケット内のファイルを移動（コピー・削除）しました。

そのファイルを読み込もうとすると、AccessDeniedエラーになりました。

This XML file does not appear to have any style information associated with it. The document tree is shown below.

調べたところ、別バケット間の移動をすると権限でこのエラーが出るとありますが今回は同一バケット、同一アカウントです。

2 つの Amazon S3 バケット間でオブジェクトをコピーできないのはなぜですか?

S3からのファイルコピーでHTTP 403が表示されたとき

railsから以下のようにコピーしました。
画像を一時領域から本番領域に移動（コピー・削除）しました。

def s3_copy_image
      if self.avatar_changed?
               
        target_key = "uploads/user/avatar/#{self.id}/#{File.basename(self.avatar)}"
        temp_key = self.avatar.gsub("#{S3_BUCKET.url}/", '')
        object = S3_BUCKET.object(temp_key)

        # コピー先を初期化
        S3_BUCKET.objects(prefix: "uploads/user/avatar/#{self.id}/").batch_delete!

        # コピー
        object.copy_to(bucket: S3_BUCKET.name, key: target_key)
        
        # コピー元を削除
        S3_BUCKET.object(temp_key).delete

        # URL更新
        self.avatar = "#{S3_BUCKET.url}/uploads/user/avatar/#{self.id}/#{File.basename(self.avatar)}"
      end
    end

調べてますが情報見つからず原因分かりません。

分かる方教えていただけると幸いです。
宜しくお願い致します。

追記

画像ファイルのコピーはバックエンド(rails)から行っておりますが、
作成自体はフロントエンドから行っております。
これが関係してるでしょうか？
以下に追記致します。

画像の選択時にブラウザからダイレクトアップロードするようにしてます。
heroku公式のまんまですが。

<script>
$(function() {
  $('.directUpload').find("input:file").each(function(i, elem) {
    var fileInput    = $(elem);
    var form         = $(fileInput.parents('form:first'));
    var submitButton = form.find('input[type="submit"]');
    var progressBar  = $("<div class='bar'></div>");
    var barContainer = $("<div class='progress'></div>").append(progressBar);
    fileInput.after(barContainer);
    fileInput.fileupload({
      fileInput:       fileInput,
      url:             '<%= @s3_direct_post.url %>',
      type:            'POST',
      autoUpload:       true,
      formData:         <%= @s3_direct_post.fields.to_json.html_safe %>,
      paramName:        'file',
      dataType:         'XML',
      replaceFileInput: false,
      progressall: function (e, data) {
        var progress = parseInt(data.loaded / data.total * 100, 10);
        progressBar.css('width', progress + '%')
      },
      start: function (e) {
        submitButton.prop('disabled', true);

        progressBar.
          css('background', 'green').
          css('display', 'block').
          css('width', '0%').
          text("Loading...");
      },
      done: function(e, data) {
        submitButton.prop('disabled', false);
        progressBar.text("Uploading done");

        // extract key and generate URL from response
        var key   = $(data.jqXHR.responseXML).find("Key").text();
        var url   = '<%= @s3_direct_post.url %>/' + key;
        
        
        // create hidden field
        var input = $("<input />", { type:'hidden', name: fileInput.attr('name'), value: url })
        form.append(input);
      },
      fail: function(e, data) {
        submitButton.prop('disabled', false);

        progressBar.
          css("background", "red").
          text("Failed");
      }
    });
  });
});
</script>

####追記
今さらながら、AWSの管理画面で画像を確認しました。
画像のアクセス許可からアクセスコントロールリスト (ACL)を確認しました。

問題の画像は、オブジェクトの読み込みが空白になってました。

コピー時に権限を与えてない？のが原因でしょうか？

Comments

[yu_1985]

元々あった画像を置き換える処理かと思いますが、そもそも元々の画像にはURLでアクセスはできましたか？

[pecchan]

有難う御座います。

はい、元の画像にはURLでアクセスできます。
コピー先の画像は、URLでアクセスしようとするとXMLでエラーが表示されます。

１つしかバケットはなく、バケット内にtempフォルダがあります。
画像選択時にtempフォルダにUploadし、最後の確定でtempフォルダから
同一バケット内の別フォルダに移動させようとしてます。

[pecchan]

画像選択時のアップロードは、フロントエンドから。
確定で画像の移動は、バックエンドから行っております。
これが関係してるでしょうか？
その部分を追記致します。

Answer 1

登録時はacl追加してたので
試しにコピー時のメソッド
copy_to
の引数にも、aclを追加してみたらいけました。

これはawsのドキュメントにも記載ありませんでした。