Terraform配置AWS IAM用户S3权限异常：无法查看指定Bucket

当前桶列表权限问题 #

AWS控制台的「列出所有桶」操作依赖s3:ListAllMyBuckets权限，这个权限属于账号级操作，必须将资源指定为arn:aws:s3:::*才能生效。你当前的策略仅授权了单个桶的s3:*操作，未包含该权限，因此控制台会提示「You don't have permissions to list buckets」。

但直接授予s3:ListAllMyBuckets全权限会让用户看到账号内所有桶，不符合你「用户仅能访问自身专属资源」的需求，需要通过IAM条件键+命名规范实现隔离。

专属资源隔离实现方案 #

核心思路 #

1. 为每个用户的S3桶设置与用户名绑定的命名规则（比如lab-etl-s3-<用户名>）。
2. 使用AWS内置条件键${aws:username}，在IAM策略中限制用户仅能访问和自己用户名匹配的桶。
3. 按需授权桶操作权限，同时通过条件限制控制台仅显示用户专属桶。

修正后的IAM策略 #

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "arn:aws:s3:::*",
      "Condition": {
        "StringLike": {
          "s3:prefix": ["", "lab-etl-s3-${aws:username}/*"]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::lab-etl-s3-${aws:username}",
        "arn:aws:s3:::lab-etl-s3-${aws:username}/*"
      ]
    }
  ]
}

• 第一条规则：授权用户列出桶，但通过s3:prefix条件限制仅能看到与自己用户名匹配的桶，控制台只会显示该用户的专属桶。
• 第二条规则：授权用户对自己专属桶的所有操作（包括桶内对象）。

Terraform实现代码示例 #

# 创建IAM用户
resource "aws_iam_user" "lab_user" {
  name = "lab-user-sujith" # 替换为实际用户名或通过变量传入
}

# 创建用户专属S3桶
resource "aws_s3_bucket" "lab_bucket" {
  bucket = "lab-etl-s3-${aws_iam_user.lab_user.name}"
}

# 创建IAM权限策略
resource "aws_iam_policy" "lab_user_s3_policy" {
  name        = "lab-user-s3-exclusive-access"
  description = "Grant exclusive access to user's own S3 bucket"

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Action = "s3:ListAllMyBuckets"
        Resource = "arn:aws:s3:::*"
        Condition = {
          StringLike = {
            "s3:prefix" = ["", "${aws_s3_bucket.lab_bucket.bucket}/*"]
          }
        }
      },
      {
        Effect = "Allow"
        Action = "s3:*"
        Resource = [
          "${aws_s3_bucket.lab_bucket.arn}",
          "${aws_s3_bucket.lab_bucket.arn}/*"
        ]
      }
    ]
  })
}

# 将策略附加到IAM用户
resource "aws_iam_user_policy_attachment" "attach_policy" {
  user       = aws_iam_user.lab_user.name
  policy_arn = aws_iam_policy.lab_user_s3_policy.arn
}

扩展：允许用户创建专属桶 #

如果需要让用户自行创建专属桶，可在策略中添加以下规则，限制桶名必须包含用户名：

{
  "Effect": "Allow",
  "Action": "s3:CreateBucket",
  "Resource": "arn:aws:s3:::lab-etl-s3-${aws:username}",
  "Condition": {
    "StringEquals": {
      "s3:LocationConstraint": "us-east-1" # 按需指定AWS区域
    }
  }
}

内容的提问来源于stack exchange，提问作者Sujith_Fraidy