AWS S3删除对象遇Access Denied错误，请求技术协助

排查思路 #

• 权限边界与策略冲突检查：AmazonS3FullAccess权限边界仅定义最大允许权限，若IAM用户策略、存储桶策略存在显式拒绝，或组织级SCP（服务控制策略）限制了s3:DeleteObject操作，仍会触发权限错误。同时需确认存储桶策略的Principal字段中IAM用户ARN拼写完全正确。
• 资源ARN与桶配置验证：检查策略中存储桶名称是否与实际一致（S3桶名需全小写）；若桶开启了对象锁（Object Lock），需确认目标对象是否处于合规锁定状态（该状态下无法删除）；若桶启用版本化，删除操作需额外权限支持。
• 代码逻辑与客户端配置检查：异步请求的并发处理是否合规，S3客户端配置的区域是否与存储桶所在区域匹配，对象Key是否存在未编码的特殊字符（如空格、中文）。
• 临时凭证有效性验证：若使用临时凭证（如Lambda角色、ECS任务角色），检查凭证是否过期、权限范围是否包含s3:DeleteObject。

解决方案 #

一、权限配置修正 #

1. 简化并优化策略
   移除冗余的重复权限声明，确保存储桶策略的Principal指向正确IAM用户ARN，示例如下：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowBucketOperations",
               "Effect": "Allow",
               "Principal": {"AWS": "arn:aws:iam::123456789012:user/your-iam-user"},
               "Action": [
                   "s3:GetObject",
                   "s3:DeleteObject",
                   "s3:PutObject",
                   "s3:ListBucket"
               ],
               "Resource": [
                   "arn:aws:s3:::bucketname",
                   "arn:aws:s3:::bucketname/*"
               ]
           }
       ]
   }
   

2. 版本化桶权限补充
   若存储桶开启版本化，需添加s3:DeleteObjectVersion和s3:ListBucketVersions权限到IAM用户策略与存储桶策略中，因为默认DeleteObject仅添加删除标记，而非真正删除对象版本。
3. 检查组织SCP限制
   登录AWS Organizations控制台，确认无SCP规则拒绝s3:DeleteObject操作或限制目标存储桶的访问。

二、代码逻辑修正 #

1. 修复异步并发问题
   原代码使用forEach处理异步删除，无法等待所有操作完成，且可能触发AWS请求限流，改用Promise.all确保异步操作有序完成：

   export async function emptyBucketByPrefix(prefix) {
       let listResponse
       do {
           listResponse = await s3Client.send(new ListObjectsV2Command({Bucket: bucketName, Prefix: prefix}));
           if (!listResponse.Contents?.length) {
               break;
           }
           const objects = listResponse.Contents.map(({Key}) => ({Key}));       
           
           // 用Promise.all等待所有删除请求完成
           await Promise.all(objects.map(async (object)=>{
               const objectkey = object.Key;
               console.log(objectkey)
               const command = new DeleteObjectCommand({
                   Bucket: bucketName,
                   Key: objectkey
               });
               await s3Client.send(command); 
           }))        
       } while (listResponse.IsTruncated);
   }
   

2. 版本化桶的批量删除实现
   针对开启版本化的桶，需列出所有对象版本和删除标记并批量删除，推荐使用DeleteObjectsCommand提升效率：

   export async function emptyBucketByPrefix(prefix) {
       let versionResponse
       do {
           versionResponse = await s3Client.send(new ListObjectVersionsCommand({Bucket: bucketName, Prefix: prefix}));
           const deleteEntries = [];
           
           // 收集对象版本和删除标记
           if (versionResponse.Versions?.length) {
               deleteEntries.push(...versionResponse.Versions.map(v => ({Key: v.Key, VersionId: v.VersionId})));
           }
           if (versionResponse.DeleteMarkers?.length) {
               deleteEntries.push(...versionResponse.DeleteMarkers.map(dm => ({Key: dm.Key, VersionId: dm.VersionId})));
           }
           
           if (deleteEntries.length === 0) {
               break;
           }
           
           // 批量删除
           await s3Client.send(new DeleteObjectsCommand({
               Bucket: bucketName,
               Delete: { Objects: deleteEntries }
           }));
       } while (versionResponse.IsTruncated);
   }
   

三、额外验证步骤 #

• 使用AWS CLI测试：执行aws s3 rm s3://bucketname/path/to/object --profile your-profile，验证是否能直接删除对象，排除代码层面问题。
• 用IAM Access Analyzer检查：在IAM控制台通过Access Analyzer验证策略是否允许s3:DeleteObject操作针对目标桶和对象。
• 检查桶ACL：确认存储桶的访问控制列表（ACL）未限制IAM用户的删除权限。

内容的提问来源于stack exchange，提问作者SENA rajaguru