Object Storage Service:HTTP 403 エラー

原因：対象バケットの所有者に対してサービスが利用できません。

ソリューション：ユーザーの Alibaba Cloud アカウントが削除されたか、セキュリティ上の理由で制限されていないか確認してください。また、支払い遅延によりプロバイダーがサービスを一時停止していないかも確認してください。

原因：関連する操作を実行する権限がありません。

ソリューション：ステップ 4 で設定された RAM ロールの権限と、ステップ 5 で Policy パラメーターに指定された権限の積集合が、STS トークンの最終的な権限となります。以下の例を使用して、これら 2 つのステップで設定された権限の積集合を確認してください。

• 例 1

  下図において、A は RAM ロールの権限を、B は policy パラメーターで設定された権限を、C は一時認証情報の最終的な権限を表します。

  

• 例 2

  下図において、A は RAM ロールの権限を、B は policy パラメーターで設定された権限を表します。policy パラメーターで設定された権限は RAM ロールの権限の部分集合であるため、B が一時認証情報の最終的な権限となります。

  

原因：バケットポリシーによりアクセスが拒否されています。

ソリューション：ユースケースに基づいてバケットポリシーを構成してください。詳細については、「指定されたリソースへの他ユーザーのアクセスを許可するためのバケットポリシーの構成」をご参照ください。

原因：クライアントの VPC エンドポイントにアタッチされたポリシーにより、未承認のバケットへのアクセスが拒否されています。

ソリューション：VPC エンドポイントに構成されたポリシーを確認してください。

原因：必要なアクセス権限がありません。

ソリューション：

• 正しい AccessKey ID および AccessKey Secret を使用していることを確認してください。詳細については、「アクセスキーペアの作成」をご参照ください。

• RAM ユーザーがバケットまたはオブジェクトに対する操作を実行するために必要な権限を持っていることを確認してください。

原因：匿名ユーザーがその操作を実行するために必要な権限を持っていません。

ソリューション：バケットポリシーを使用して、匿名ユーザーに指定されたリソースへのアクセス権限を付与してください。詳細については、「指定されたリソースへの他ユーザーのアクセスを許可するためのバケットポリシーの構成」をご参照ください。

原因：匿名ユーザーがこのバケットにアクセスする権限を持っていません。

ソリューション：バケットポリシーを使用して、匿名ユーザーに対象バケットへのアクセス権限を付与してください。詳細については、「指定されたリソースへの他ユーザーのアクセスを許可するためのバケットポリシーの構成」をご参照ください。

原因：匿名ユーザーがこのオブジェクトにアクセスする権限を持っていません。

ソリューション：バケットポリシーを使用して、匿名ユーザーに指定されたリソースへのアクセス権限を付与してください。詳細については、「指定されたリソースへの他ユーザーのアクセスを許可するためのバケットポリシーの構成」をご参照ください。

原因：バケットに対して階層名前空間機能が無効になっています。

ソリューション：バケット作成時に階層名前空間機能を有効にしてください。その後、ディレクトリまたはファイルの名前を変更できます。階層名前空間機能をサポートするリージョンおよびユースケースの詳細については、「階層名前空間機能の有効化」をご参照ください。

原因：ポリシーフォームフィールドで指定された条件が無効です。

ソリューション：ポリシーフォームフィールドに有効な条件を指定してください。ポリシーフォームフィールドでサポートされている条件およびマッチング方法の詳細については、「付録：Post Policy」をご参照ください。

原因：アップロードされたファイルのタイプが指定された Content-Type と一致しません。

ソリューション：ポリシー内の Content-Type は、フォームを使用してアップロードできるファイルのタイプを制限するために使用されます。Content-Type が image/png に制限されている場合、image/png タイプのファイルのみをアップロードできます。他のタイプのファイルをアップロードするには、対応する Content-Type 値をポリシーに追加してください。一般的な Content-Type 値の一覧については、「Content-Type (MIME) の設定方法」をご参照ください。

原因：PostObject リクエストの policy フォームフィールドが無効です。

ソリューション：Post リクエストの policy フォームフィールドは、リクエストの有効性を検証するために使用されます。ポリシーは UTF-8 および Base64 でエンコードされた JSON テキストです。ポリシーは Post リクエストが満たさなければならない条件を宣言します。以下のコードは Post ポリシーのフォーマットを示しています。

{ 
  "expiration": "2014-12-01T12:00:00.000Z",
  "conditions": [
    {"bucket": "johnsmith" },
    ["starts-with", "$key", "user/eric/"]
  ]
}

ポリシーでサポートされている条件の詳細については、「付録：Post Policy」をご参照ください。

原因：リクエストのタイムスタンプが無効です。

ソリューション：Expires パラメーターの値は Unix 時間（1970 年 1 月 1 日 00:00:00 UTC からの経過秒数）である必要があります。この値は URL の有効期限を指定します。

原因：署名付き URL に必須パラメーターが不足しています。

ソリューション：署名付き URL には、少なくとも Signature、Expires、および OSSAccessKeyId パラメーターを含める必要があります。以下は署名付き URL の例です。http://oss-example.oss-cn-hangzhou.aliyuncs.com/oss-api.pdf?OSSAccessKeyId=nz2pc56s936**9l&Expires=1141889120&Signature=vjbyPxybdZaNmGa%2ByT272YEAiv****。署名付き URL の詳細については、「URL に署名を含める」をご参照ください。

原因：リクエストの有効期限が切れています。

ソリューション：ユースケースに基づいて Expires パラメーターに適切な値を設定してください。ファイルをアップロードする際の Expires パラメーターの設定方法の詳細については、「PutObject」、「PostObject」、「AppendObject」、および「InitiateMultipartUpload」をご参照ください。

原因：クロスリージョンファイルコピーはサポートされていません。

ソリューション：オブジェクトは、同じリージョン内のバケット間でのみコピーできます。バケットは同一でも別でも構いません。詳細については、「CopyObject」をご参照ください。

原因：バケットにアクセスするために使用されたエンドポイントが正しくありません。

ソリューション：バケットにアクセスする際に正しいエンドポイントを使用していることを確認してください。たとえば、バケットが oss-cn-hangzhou リージョンにある場合、そのパブリックエンドポイントは oss-cn-hangzhou.aliyuncs.com です。エンドポイントの詳細については、「IPv6 経由での OSS アクセス」をご参照ください。

原因：KMS を使用する権限がありません。

ソリューション：指定された CMK ID を使用する権限があることを確認してください。詳細については、「サーバ側暗号化」をご参照ください。

原因：ホットリンク保護の検証に失敗しました。

ソリューション：Referer ホワイトリストを構成し、空の Referer ヘッダーを許可するかどうかを指定して、バケット内のリソースへのアクセスをホワイトリスト内のドメインのみに制限してください。詳細については、「ホットリンク保護の構成」をご参照ください。

原因：オブジェクトの ACL を読み取る権限がありません。

ソリューション：オブジェクト所有者に連絡し、GetObjectACL 権限を付与してもらってください。

原因：オブジェクトを読み取る権限がありません。

ソリューション：オブジェクト所有者に連絡し、オブジェクトに対する読み取り権限を付与してもらってください。

原因：オブジェクトの ACL に書き込む権限がありません。

ソリューション：オブジェクト所有者に連絡し、PutObjectACL 権限を付与してもらってください。

原因：オブジェクトに書き込む権限がありません。

ソリューション：オブジェクト所有者に連絡し、オブジェクトに対する書き込み権限を付与してもらってください。

原因：RAM ユーザーがこのオブジェクトにアクセスする権限を持っていません。

ソリューション：RAM ユーザーがオブジェクトに対する操作を実行するために必要な権限を持っていることを確認してください。ユースケースごとに異なるアクセス権限を設定する方法の詳細については、「チュートリアル：RAM ポリシーを使用した OSS アクセス制御」をご参照ください。

原因：オブジェクトにアクセスする権限がありません。

ソリューション：リクエスターに必要な OSS アクセス権限（PutObject、GetObject、AppendObject など）を付与してください。詳細については、「RAM ポリシーの一般的な例」をご参照ください。

原因：CORS が構成されていないか、誤って構成されています。

ソリューション：詳細については、「オリジン間リソース共有の構成」をご参照ください。

原因：提供された AccessKey ID が STS トークンと一致しません。

ソリューション：詳細については、「STS トークンを使用した OSS アクセス」をご参照ください。

原因：バケットがセキュリティ上の理由で無効になっています。

ソリューション：アカウントに支払い遅延がないか確認するか、テクニカルサポートに連絡してセキュリティチェックを実施してください。

原因：対象バケットの所有者ではありません。

ソリューション：この操作を実行するために必要な権限を持つのは、バケット所有者のみです。

原因：ドメイン名はすでに別のバケットにバインドされています。

ソリューション：ドメイン名を変更するか、ドメイン名の所有権を検証して強制的にバインドしてください。ドメイン名の所有権を検証すると、他のバケットからのバインドが解除されます。詳細については、「カスタムドメイン名のバインド」をご参照ください。

原因：画像ファイルが破損しているか情報が不足しているため、システムがファイルを認識または処理できません。

ソリューション：ソースファイルの整合性を確認してください。ファイルが破損している場合は、ローカルファイルを再度アップロードしてください。

原因：入力された AccessKey ID にサポートされていない文字が含まれています。

ソリューション：RAM ユーザーまたは Alibaba Cloud アカウントの正しい AccessKey ID を再入力してください。詳細については、「アクセスキーペアの作成」をご参照ください。

原因：STS トークンの有効期限が切れています。

ソリューション：一時的なアクセスキーペア（AccessKey ID および AccessKey Secret）を使用して、アプリケーションサーバーから新しい STS トークンをリクエストしてください。詳細については、「STS トークンの取得」をご参照ください。

原因：AccessKey ID が無効になっています。

ソリューション：アクセスキーペアを再度有効にしてください。

原因：Archive オブジェクトをダウンロードする際、以下のシナリオで無効なオブジェクト状態エラーが発生します。

• RestoreObject リクエストが送信されていない、または最後に送信された RestoreObject リクエストの有効期限が切れています。

• RestoreObject リクエストは送信されましたが、データ復元操作が完了していません。

ソリューション：詳細については、「RestoreObject」をご参照ください。

原因：STS トークンが無効です。

ソリューション：詳細については、「STS トークンを使用した OSS アクセス」をご参照ください。

原因：Alibaba Cloud アカウントに支払い遅延がある場合、Key Management Service (KMS) へのアクセスが拒否されます。

ソリューション：KMS へのアクセスを復元するために、Alibaba Cloud アカウントの未払い残高を支払ってください。

原因：KMS の支払いが遅延しています。

ソリューション：KMS の使用を継続するために、サービスを速やかに更新してください。

原因：リクエスターに対して KMS が有効になっていません。

ソリューション：OSS データを KMS マネージドキー (SSE-KMS) を使用したサーバ側暗号化で暗号化する前に、KMS を有効にする必要があります。詳細については、「KMS の有効化」をご参照ください。

原因：ホスト形式が正しくありません。

ソリューション：OSS リソースにアクセスする際に、標準的なドメイン名形式を使用してください。詳細については、「IPv6 経由での OSS アクセス」をご参照ください。

原因：OSS のバケットに SDK を使用してアクセスする際、エンドポイントが指定されていないか、正しくありません。たとえば、中国 (青島) リージョンにバケットを作成したにもかかわらず、デフォルトのエンドポイント oss-cn-hangzhou.aliyuncs.com を使用してリクエストを送信すると、このエラーが発生します。

ソリューション：リクエストエンドポイントがバケットのエンドポイントと一致することを確認してください。たとえば、中国 (青島) リージョンおよび中国 (杭州) リージョンのバケットにアクセスするには、複数の OSS クライアントを作成し、クライアントに oss-cn-hangzhou.aliyuncs.com および oss-cn-qingdao.aliyuncs.com エンドポイントを追加することを推奨します。

原因：リクエスト時刻が OSS サーバー上の現在時刻と 15 分以上異なります。

ソリューション：リクエストを送信するデバイスのシステム時刻を確認し、タイムゾーンに基づいて正しい時刻に調整してください。

リクエストを送信するデバイスのシステム時刻を以下の基準に基づいて調整してください。

• OSS はグリニッジ標準時 (GMT) を使用します。デバイスのシステム時刻は GMT または対応するタイムゾーンに調整する必要があります。GMT はゼロタイムゾーンの時刻であり、協定世界時 (UTC) とも呼ばれます。

  • Windows システムでタイムゾーンを表示するには、 をクリックします。

    たとえば、タイムゾーンバーに +08:00 と表示されている場合、デバイスのシステムタイムゾーンは UTC + 08:00 です。

  • Linux または UNIX システムでタイムゾーンを表示するには、date -R コマンドを実行します。

    下図において、+0800 はデバイスのシステムタイムゾーンが UTC + 08:00 であることを示しています。

    

• OSS は複数のリージョンで利用可能であり、すべてのリージョンで GMT を使用して時刻を管理しています。リクエストを送信するデバイスのシステム時刻は、標準時刻ソースと同期させる必要があります。

原因：ホスト形式が正しくありません。

ソリューション：インターネット経由で OSS にアクセスする際は、アクセスしたい OSS リソースを表す URL を使用します。OSS URL の構造は <Schema>://<Bucket>.<public endpoint>/<Object> です。Schema は HTTP または HTTPS です。Bucket はバケットの名前です。public endpoint は、バケットが配置されているデータセンターへのパブリックアクセス用エンドポイントです。Object は OSS にアップロードされたファイルのアクセスパスです。

たとえば、リージョンが中国 (杭州)、バケット名が examplebucket、オブジェクトパスが destfolder/example.txt の場合、パブリックアクセス URL は https://examplebucket.oss-cn-hangzhou.aliyuncs.com/destfolder/example.txt です。

原因：バケットのリクエストドメイン名が第 3 レベルドメイン名ではありません。

ソリューション：GetService (ListBuckets) API を除き、OSS へのすべてのネットワークリクエストは、特定のバケットに関する情報を含む第 3 レベルドメイン名を使用します。アクセスドメインの構造は BucketName.Endpoint です。ここで、BucketName はバケットの名前、Endpoint はバケットのリージョンドメイン名です。たとえば、https://examplebucket.oss-cn-hangzhou.aliyuncs.com です。

原因：STS トークンの有効期限が切れています。

ソリューション：STS から新しいトークンをリクエストしてください。

原因：現在のリージョンでは STS トークンの使用がサポートされていません。

ソリューション：STS トークンの使用をサポートするリージョンの詳細については、「エンドポイント」をご参照ください。

原因：この API オペレーションは STS トークンを使用して呼び出すことができません。

ソリューション：STS トークンは、特定のユーザーに OSS リソースへの一時的なアクセスを許可するためにのみ適しています。他のユーザーにバケットへのアクセスを許可するには、「アクセス制御の概要」をご参照のうえ、適切な権限付与メカニズムを選択してください。

原因：API または SDK を使用して OSS にアクセスする際、クライアントは OSS サーバーがリクエストを認証できるように署名情報を含める必要があります。サーバーがこのエラーメッセージを返す場合、リクエストに含まれる署名がサーバーが計算した署名と一致せず、リクエストが拒否されたことを示します。

ソリューション：以下の手順を実行して問題をトラブルシューティングしてください。

1. 署名に使用する AccessKey ID および AccessKey Secret が正しいことを確認してください。

   AccessKey ID および AccessKey Secret を使用して ossbrowser にログインし、それらが正しいことを確認できます。詳細については、「ossbrowser 1.0 のインストール」をご参照ください。

2. 署名アルゴリズムが正しいかどうかを確認してください。

   OSS は、リクエストに署名を含める方法として 2 つの方法をサポートしています。詳細については、「ヘッダーに署名を含める」および「URL に署名を含める」をご参照ください。以下に、これらの 2 つの署名方法のアルゴリズムを示します。

   • ヘッダーに署名を含める

     StringToSign = VERB + "\n"
                   + Content-MD5 + "\n" 
                   + Content-Type + "\n" 
                   + Date + "\n" 
                   + CanonicalizedOSSHeaders
                   + CanonicalizedResource
     Signature = base64(hmac-sha1(AccessKeySecret, StringToSign)

   • URL に署名を含める

     StringToSign = VERB + "\n" 
                   + CONTENT-MD5 + "\n" 
                   + CONTENT-TYPE + "\n" 
                   + EXPIRES + "\n" 
                   + CanonicalizedOSSHeaders
                   + CanonicalizedResource
     Signature = urlencode(base64(hmac-sha1(AccessKeySecret, StringToSign)))

   ビジネスシナリオが許す場合は、Alibaba Cloud SDK を使用して OSS にアクセスすることを推奨します。これにより、署名を手動で計算する必要がなくなります。詳細については、「Alibaba Cloud SDK を使用したリクエストの開始」をご参照ください。

3. レスポンスボディ内の StringToSign フィールドとリクエストの内容を比較し、相違点を確認してください。

   StringToSign フィールドは署名文字列を表し、これは署名アルゴリズムで AccessKey Secret を使用して暗号化する内容です。

   以下はリクエストの例です。

   PUT /bucket/abc?acl
   Date: Wed, 24 May 2023 02:12:30 GMT
   Authorization: OSS qn6q**************:77Dv****************
   x-oss-abc: mymeta

   上記のリクエストに対する署名文字列は次のとおりです。

   PUT\n\n\nWed, 24 May 2023 02:12:30 GMT\nx-oss-abc:mymeta\n/bucket/abc?acl

原因：現在のリージョンでは転送アクセラレーション機能がサポートされていません。

ソリューション：テクニカルサポートに連絡して、この問題を解決してください。

原因：

• アカウントに支払い遅延があるか、セキュリティ上の理由で無効になっています。

• OSS が有効になっていません。

ソリューション：

• アカウントに支払い遅延がないか確認するか、テクニカルサポートに連絡してセキュリティチェックを実施してください。

• OSS を有効にしてください。

原因：ロックされた保持ポリシーの削除を試みました。

ソリューション：保持ポリシーがロックされると、ポリシーを削除したり保存期間を短縮したりすることはできません。保存期間を延長することのみ可能です。詳細については、「保持ポリシー」をご参照ください。