AWS IAM策略指定S3桶时s3:PutObject权限失效问题排查

为什么指定具体桶的策略会失效？ #

最常见的原因是忽略了工具或操作流程中对桶本身的依赖权限。虽然s3:PutObject是针对对象的操作，但像DART这类工具在上传文件前，通常会先执行s3:ListBucket或s3:GetBucketLocation这类桶级操作，用来验证桶的存在、获取区域信息或列出已有对象。如果你的IAM策略只授权了对象级的arn:aws:s3:::examplebucket/*，却没有给桶本身（arn:aws:s3:::examplebucket）的必要权限，工具会因为前置操作失败，导致后续的PutObject看起来像是失效了。

另外，ARN匹配范围出错的概率极低——毕竟你用*时能正常生效，说明对象路径本身没有问题。

配置单个S3桶PutObject权限的关键要点 #

要确保策略生效且遵循最小权限原则，需要注意以下几点：

• 同时包含桶和对象的ARN：除了对象路径arn:aws:s3:::examplebucket/*，还要根据工具需求添加桶级权限。比如DART通常需要s3:GetBucketLocation和s3:ListBucket权限，示例策略如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::examplebucket/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::examplebucket"
        }
    ]
}

• 验证Block Public Access的影响：Block Public Access主要限制公共访问，IAM用户的权限不受其影响，但可以确认下未勾选不必要的限制选项（比如"Block all public access"不会影响IAM操作）。
• 排查冲突权限：检查用户是否属于其他带有拒绝权限的IAM组，不过你用*时能正常生效，这种可能性很低。可以在IAM策略模拟器中查看权限评估的详细结果，确认是否存在明确的拒绝项。
• 测试完整操作链：在IAM模拟器中不要只测试s3:PutObject，还要测试工具会用到的前置操作（比如s3:GetBucketLocation），确保这些操作都被允许。

内容的提问来源于stack exchange，提问作者kieran