跨账号场景下AWS S3桶VPC端点限制策略：拒绝策略失效原因及解决方案咨询

首先，一眼就能看到你提供的两个策略里有个明显的小错误：资源ARN不匹配——拒绝策略里写的是awsexamplebucket1，但允许策略里是bucket。如果你的实际桶是bucket，那拒绝策略根本不会作用在目标桶上，自然就不会生效。先确认并修正这个桶名的问题，这是最容易踩的坑。

假设你已经把桶ARN改对了，咱们来分析其他可能的原因，以及如何正确配置拒绝策略来实现你的需求：

拒绝策略失效的核心原因 #

AWS的权限评估逻辑是：先查所有显式拒绝，只要有一条拒绝匹配请求，直接拒绝；没找到拒绝的话，再看有没有允许的权限，有就允许，否则拒绝。你的拒绝策略不生效，大概率是以下情况之一：

1. 存在没被拒绝策略覆盖的允许权限 #

比如：

• 账号B的桶开了公开访问权限（比如桶策略允许*访问，还没加拒绝规则）
• 账号A的IAM用户已经被授予了访问该桶的权限，而你的测试请求刚好来自指定VPC，拒绝策略没触发（这其实是正常的，不是失效）
• 桶的ACL设置了允许其他账号访问

2. 拒绝策略的条件逻辑没覆盖到你的测试场景 #

你的拒绝策略是：只要请求的aws:SourceVpc不等于vpc-111bbb22，就拒绝所有S3操作。如果你的测试是从指定VPC发起的请求，那拒绝策略本来就不会触发，这时候如果有其他允许权限，请求自然会成功——这是正常行为，不是策略失效。但如果是从非指定VPC发起的请求还能访问，那肯定是有其他允许权限绕过了拒绝策略。

3. 跨账号访问的额外权限要求 #

因为你是用账号A的IAM用户访问账号B的桶，除了桶策略，还得满足两个条件：

• 账号A的IAM用户本身有允许访问该桶的权限（或者桶策略明确允许账号A的用户/根账号）
• 请求确实是通过指定的S3 VPC端点发起的（只有这样，请求上下文里才会有aws:SourceVpc这个字段）

符合最佳实践的正确配置方案 #

要实现仅允许指定VPC（通过S3端点）的账号A用户访问账号B的桶，咱们要结合「拒绝优先+精准允许」的思路，既遵循AWS的最佳实践，又避免过度授权。

第一步：修正拒绝策略，拦截所有非合规请求 #

先写两条拒绝规则：一条拦截非指定VPC的请求，一条拦截非账号A的主体（哪怕来自指定VPC也不行）：

{
  "Version": "2012-10-17",
  "Id": "DenyNonCompliantAccess",
  "Statement": [
    // 拒绝所有来自非指定VPC的请求
    {
      "Sid": "DenyNonAuthorizedVpc",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::your-actual-bucket-name",
        "arn:aws:s3:::your-actual-bucket-name/*"
      ],
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpc": "vpc-111bbb22"
        }
      }
    },
    // 拒绝非账号A的主体访问（即使来自指定VPC）
    {
      "Sid": "DenyNonAccountAUsers",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::your-actual-bucket-name",
        "arn:aws:s3:::your-actual-bucket-name/*"
      ],
      "Condition": {
        "StringNotEquals": {
          "aws:PrincipalAccount": "YOUR-ACCOUNT-A-ID"
        }
      }
    }
  ]
}

第二步：添加精准允许策略（可选但更严谨） #

虽然拒绝策略已经拦住了所有非合规请求，但为了权限逻辑更清晰，你可以再加一条允许规则，明确允许账号A的用户在指定VPC内访问桶（这和拒绝策略不冲突，只有符合条件的请求才会被允许）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAccountAUsersFromAuthorizedVpc",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::YOUR-ACCOUNT-A-ID:root"
      },
      "Action": [
        // 遵循最小权限原则，只给需要的权限，别用s3:*
        "s3:GetObject",
        "s3:PutObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::your-actual-bucket-name",
        "arn:aws:s3:::your-actual-bucket-name/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "vpc-111bbb22"
        }
      }
    }
  ]
}

第三步：给账号A的IAM用户配置对应权限 #

在账号A的IAM控制台，给目标用户添加允许访问该桶的权限（示例）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::your-actual-bucket-name",
        "arn:aws:s3:::your-actual-bucket-name/*"
      ]
    }
  ]
}

验证策略的小技巧 #

1. 用AWS IAM Access Analyzer的Policy Simulator测试：模拟来自指定VPC/非指定VPC、账号A用户/其他用户的请求，看看权限评估结果是否符合预期。
2. 开启S3访问日志，查看请求的source-vpc字段，确认请求是不是真的来自指定的VPC端点。
3. 检查S3 VPC端点的策略，确保它允许访问目标桶（默认是允许所有，如果你改过端点策略，得确认下）。

最后再提几个最佳实践的关键点：

• 遵循最小权限原则，别随便给s3:*权限，只授予业务需要的操作。
• 永远优先用拒绝策略拦截非合规请求，再用允许策略开放必要权限。
• 配置完一定要验证，避免手滑写错ARN或者条件。

内容的提问来源于stack exchange，提问作者mount.cifs