使用AWS CLI启用S3桶MFA Delete时遭遇Access Denied错误求助

问题根源 #

启用或禁用S3桶的MFA Delete功能是AWS的特殊权限操作，仅允许账户根用户执行——即便拥有管理员权限或S3全访问权限的IAM用户，也无法完成此操作，这是AWS的权限设计限制。

解决步骤 #

1. 切换至根账户凭证操作
   停止使用IAM管理员用户的凭证，改用AWS账户的根用户凭证配置CLI或登录AWS控制台。

2. 执行启用MFA Delete的CLI命令
   确保根用户已启用MFA设备，执行以下命令（替换对应桶名、MFA ARN和实时6位验证码）：

   aws s3api put-bucket-versioning --bucket testing-mfa-delete --versioning-configuration Status=Enabled,MFADelete=Enabled --mfa "arn:aws:iam::123456789012:mfa/Root_MFA_Device 123456"
   

   注意：--mfa参数格式为MFA设备ARN 6位验证码，两者之间必须有空格。

补充说明 #

• 启用MFA Delete后，后续对版本化对象的永久删除操作（如删除特定版本、删除删除标记），授权的IAM用户可在提供MFA凭证的前提下执行，无需根账户介入。
• IAM用户仍可管理桶的常规版本控制状态（启用/暂停版本控制），但无法修改MFA Delete的启用/禁用状态。

内容的提问来源于stack exchange，提问作者subha s