ファイルアップロード設定でAWS S3を利用する際に、パブリックアクセスを許可しない状態で利用可能か

[ToshihitoKon]

ファイルストレージにS3を利用してセットアップを行っています。こちらのドキュメントを参考にさせて頂いております。
https://docs.growi.org/en/admin-guide/management-cookbook/app-settings.html#file-upload-settings

現在詰まっておりまして、2点ご存じの方が居ましたら教えて頂きたいです。

• リダイレクトモードで、S3パブリックアクセスの許可はしなくても動作するか、最低限の許可は何か
  • 画像表示時には認証済みURL、アップロード時にはGrowiアプリケーションを通してPutObjectしていそうなのでパブリックアクセス無しでもいけるのではと思っているのですが、試してみると動作せず
  • アップロード時に_api/v3/attachmentが400になり、Access Deniedとなります。
  • S3のパブリックアクセスを許可するとアップロード/表示共に成功する
• IAM Userに必要なポリシー
  • s3:GetObject s3:PutObjectがあればOKでしょうか？

こちらの調査がIAM Roleを利用したS3アクセスにも関連するかなと思ったので参照
ref: #7739

[ToshihitoKon]

詰まっていたところの原因が判明したので追記します。

S3のパブリックアクセスをブロックしていたところPutObjectでAccessDeniedになる理由はpublic-readACLを付与してアップロードしようとしていたためだと思われます
ref: https://dev.growi.org/5d091f611fe336003eec5bfd
https://github.com/weseek/growi/blob/master/apps/app/src/server/service/file-uploader/aws.ts#L296

public-readからprivateにしても認証済みURLをクライアントに配布するのであれば問題ないかなとも思いました(が未検証です…)

[yuki-takei]

ソースと Wiki の該当部分掘り返していただいてありがとうございます。
仰る通り public-read 設定を消し、かつ #7739 の要望である IAM ロールにも対応するのがベストではあります。

1. 後方互換までカバーした修正にするか
2. もしくは S3 ユーザー向けには breaking changes 扱いにしてしまってあるべき姿の修正にするのか

が迷い処ですが、いずれにせよ我々が顧客にメインで提供しているストレージが GCS という事情もあり長らく塩漬けになっているのが正直なところです。GROWI のデフォルト設定が FILE_UPLOAD=aws ですから、よろしくないのは重々承知しています。

1, 2 どちらでももし PR をいただければ早期のマージは前向きに考えたいです。

[ToshihitoKon]

回答ありがとうございます。
自分の案としてはACLをpublic-readのままかprivateかはユーザーが選択できるようにした上でデフォルトをpublic-readにする(後方互換アリ)のが良いと思っております。
ひとまずimprovementラベルでissueにさせていただこうかなと思います

IAM Roleに関しても対応したいところですが、S3Factoryを触ることになる気がしまして影響が大きそうなので別issueにしようかなと思います

確認ありがとうございました！