AWS控制台复制同桶S3文件遇权限拒绝，CLI操作正常

核心排查步骤 #

• 检查是否缺少s3:CopyObject权限：控制台执行同桶文件复制/移动时，默认调用s3:CopyObject API（而非先下载再上传），你当前的权限列表中未包含该操作。即使CLI能正常执行，也可能是CLI使用的凭证继承了其他策略中的s3:CopyObject权限。尝试将s3:CopyObject添加到权限列表中测试。

• 验证IAM策略的资源覆盖范围：

  • 确保s3:GetObject的资源包含源文件路径，s3:PutObject/s3:CopyObject的资源包含目标文件路径，例如：

    "Resource": [
        "arn:aws:s3:::your-bucket/source-folder/*",
        "arn:aws:s3:::your-bucket/target-folder/*"
    ]
    

  • s3:ListBucket的资源需指定桶本身（arn:aws:s3:::your-bucket），且可通过条件限制前缀范围，确保控制台能列出源和目标文件夹：

    "Condition": {
        "StringLike": {
            "s3:prefix": [
                "source-folder/*",
                "target-folder/*",
                ""
            ]
        }
    }
    

• 排查桶策略与所有权控制冲突：

  • 检查桶策略中是否存在Deny语句，限制了控制台相关的操作（比如针对特定IP、用户代理的拒绝）。
  • 确认桶的Bucket Ownership Controls设置：若开启Bucket owner enforced，需确保操作的对象归桶所有者所有，否则可能出现权限问题。

• 对比控制台与CLI的凭证差异：

  • 确认控制台使用的凭证（如IAM用户、角色、SSO会话）与CLI是否一致。若控制台用的是临时凭证（如角色切换），需检查角色的信任策略、权限边界（Permission Boundary）是否限制了某些操作。
  • 临时凭证可能存在会话标签或条件限制，导致权限与长期AK/SK不同。

• 启用S3服务器访问日志：

  • 在S3桶中开启服务器访问日志，可记录控制台操作的具体请求细节（包括失败请求的API操作、资源路径、错误代码），比CloudTrail更精准定位缺失的权限。

• 检查版本控制与对象锁影响：

  • 若桶开启了版本控制，需确保拥有s3:GetObjectVersion权限（控制台可能会读取版本信息）；若开启了对象锁，需确认操作未违反对象锁规则。

内容的提问来源于stack exchange，提问作者user2971490