AWS SDK调用S3 HeadBucket所需最小权限排查求助

核心问题 #

你当前的策略里，s3:ListBucket权限绑定的资源是arn:aws:s3:::${var.x}/*——这个路径指向的是桶内的对象，但HeadBucket操作需要的是对桶本身的权限，对应的资源应该是arn:aws:s3:::${var.x}（不带末尾的/*）。

修正后的完整策略 #

给现有角色添加一个针对桶本身的权限条目，单独授予s3:ListBucket：

{
  "Action": [
    "s3:CopyObject",
    "s3:DeleteObject",
    "s3:PutObject",
    "s3:PutObjectAcl",
    "s3:PutObjectTagging",
    "s3:ListBucket",
    "s3:ListBucketVersions",
    "s3:ListBucketMultipartUploads",
    "s3:GetObject",
    "s3:GetObjectVersion",
    "s3:GetObjectAcl",
    "s3:GetObjectTagging",
    "s3:GetObjectVersionAcl",
    "s3:GetObjectVersionTagging"
  ],
  "Effect": "Allow",
  "Resource": "arn:aws:s3:::${var.x}/*"
},
{
  "Action": "s3:ListBucket",
  "Effect": "Allow",
  "Resource": "arn:aws:s3:::${var.x}"
}

仅HeadBucket的最小权限配置 #

如果只需要满足HeadBucket调用的最小权限，直接用下面的策略即可：

{
  "Action": "s3:ListBucket",
  "Effect": "Allow",
  "Resource": "arn:aws:s3:::${var.x}"
}

补充说明 #

• HeadBucket本质是检查桶的存在性和访问权限，AWS文档要求的s3:ListBucket权限必须作用于桶的ARN，而非对象路径，这是你之前配置失效的关键原因。
• 你使用的@aws-sdk/client-s3 v3.279.0版本的headBucket方法，权限要求和AWS官方文档一致，不存在版本特殊差异。

内容的提问来源于stack exchange，提问作者Kian