AWS S3 Bucket开启公访仍遇Access Denied问题求助

以下是几个你可能遗漏的配置或排查点：

• 确认桶名称是否替换正确
  检查Bucket策略中的arn:aws:s3:::MY-BUCKET-NAME/*是否已经替换成你实际的桶名称，很多时候复制模板后容易忽略这个细节，导致策略没有作用到目标桶。

• 检查对象级别的ACL权限
  即使桶策略允许公共访问，如果单个文件的对象ACL设置为私有（比如只有桶所有者有访问权限），依然会触发访问拒绝。可以选中一个测试对象，查看其权限>对象所有权和访问控制列表，确认是否允许所有人的读取权限。

• 排查组织级SCP或IAM权限冲突
  如果你的AWS账号属于某个组织，可能存在**服务控制策略（SCP）**限制了S3的公共访问；另外，如果你是通过IAM用户/角色访问，检查是否有IAM策略包含Deny动作（拒绝策略优先级高于允许策略），比如某些策略禁止公共GetObject请求。

• 验证访问端点是否正确
  不同AWS区域的S3访问端点格式不同，比如美国西部（俄勒冈）的端点是s3.us-west-2.amazonaws.com/your-bucket/object，如果使用了错误的端点（比如通用的s3.amazonaws.com但桶在需要区域特定端点的区域），可能会导致权限验证失败。

• 检查CDN或缓存影响
  如果之前通过CDN（如CloudFront）访问S3，可能CDN缓存了旧的拒绝响应，需要清除CDN缓存；另外确认CloudFront的Origin Access Identity（OAI）是否配置正确，若OAI没有获取S3对象的权限，也会导致访问被拒绝。

• 确认桶版本控制的影响
  如果桶开启了版本控制，你尝试访问的对象可能是旧版本，而旧版本的对象ACL与当前设置不一致。可以在S3控制台的版本标签下查看对象的所有版本，测试访问最新版本的对象。

内容的提问来源于stack exchange，提问作者Ayudh