SagemakerStudioからのS3,403エラー

SageMaker Studio から S3 へのアクセスで 403 エラーが発生する問題について、いくつかの原因が考えられます。

1. IAM ロールの権限不足: SageMaker Studio が使用する実行ロールに、特定の S3 バケットやオブジェクトに対する十分な権限がない可能性があります。s3:GetObject と s3:ListBucket の権限を付与していても、特定の条件やリソース制限がある場合があります。

2. リソース指定の問題: IAM ポリシーで権限を付与する際、リソース ARN の指定が不十分または不正確である可能性があります。例えば、バケットに対する権限とオブジェクトに対する権限は別々に指定する必要があります。

3. バケットポリシーの制限: S3 バケット側のバケットポリシーが、SageMaker Studio の実行ロールからのアクセスを制限している可能性があります。

4. タグ条件: SageMakerStudioFullAccess ポリシーなどでは、特定のタグ条件がある場合があります。例えば、一部の S3 アクセス権限は特定のタグが付いているリソースに対してのみ有効な場合があります。

5. VPC 設定の問題: SageMaker Studio が VPC 内で実行されている場合、VPC エンドポイントの設定や、ネットワーク ACL、セキュリティグループの設定が S3 へのアクセスを妨げている可能性があります。

Lambda と SageMaker Studio では使用する IAM ロールが異なるため、同じコードでも動作が異なる場合があります。SageMaker Studio の実行ロールに、アクセスしようとしている S3 バケットとオブジェクトに対する明示的な権限を追加することで問題が解決する可能性があります。

以下のようなポリシーを SageMaker Studio の実行ロールに追加することを検討してください：

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:ListBucket",
"s3:GetBucketLocation"
],
"Resource": [
"arn:aws:s3:::あなたのバケット名",
"arn:aws:s3:::あなたのバケット名/*"
]
}
]
}

Sources
SageMakerStudioFullAccess - AWS Managed Policy
Troubleshoot SageMaker AI JumpStart issues | AWS re:Post
Troubleshoot SageMaker AI notebook errors | AWS re:Post

CodeEditorが使用しているIAMロール (AmazonSageMaker-ExecutionRole-hogeなど) にLambdaで設定していたIAMロールと同じIAMポリシーは設定されていますか？
誤ったIAMロールにポリシーを設定している可能性も考えられます。
また、S3バケットポリシーでアクセスできるIAMロールを制限していたりするとIAMロール側で許可されていてもアクセスできなくなります。