AWS SDK V3调用CreatePolicyCommand时出现MalformedPolicyDocument错误

可能原因 #

1. Legacy策略解析器兼容性问题
   AWS IAM存在新旧两套策略解析引擎，你遇到的错误来自旧的Legacy解析器，而新解析器已经兼容你的策略逻辑，所以策略能成功创建，但Legacy解析器因兼容性限制抛出了错误。跨账户S3 ARN本身是合法配置，并非报错根源。

2. Bucket命名或ARN格式合规性问题
   如果enterpriseID包含不符合S3 Bucket命名规范的字符（比如大写字母、下划线、特殊符号，或是长度超出3-63字符范围），会导致Legacy解析器无法正确识别ARN，进而触发错误。

3. JSON序列化潜在异常
   虽然你已验证JSON格式，但JSON.stringify在某些边界场景下可能生成不符合Legacy解析器要求的字符串（比如多余转义字符），引发解析报错。

解决步骤 #

1. 校验Bucket命名规范 #

确保生成的所有Bucket名称符合S3规则，添加代码校验逻辑：

const validateBucketName = (name) => {
  // S3 Bucket命名正则：仅小写字母、数字、连字符，首尾不能是连字符，长度3-63
  const regex = /^[a-z0-9][a-z0-9-]{1,61}[a-z0-9]$/;
  return regex.test(name);
};

// 校验主Bucket名称
if (!validateBucketName(bucketCustomName)) {
  throw new Error(`Invalid bucket name: ${bucketCustomName}`);
}

// 校验循环生成的Bucket名称
for (let i = 0; i < 10; i++) {
  const prefix = i >= 100 ? '' : i >= 10 ? '0' : '00';
  const bucketName = `${bucketCustomName}-${prefix}${i}`;
  if (!validateBucketName(bucketName)) {
    throw new Error(`Invalid bucket name: ${bucketName}`);
  }
}

2. 用IAM验证API提前校验策略 #

调用ValidatePolicyCommand使用新解析器验证策略，规避Legacy解析器的问题：

const { ValidatePolicyCommand } = require("@aws-sdk/client-iam");

// 创建策略前先执行验证
const validateParams = {
  PolicyDocument: JSON.stringify(policySpec),
  PolicyType: "IDENTITY_POLICY" // 根据策略类型选择，此处为身份策略
};

try {
  await iamManager.iamClient.send(new ValidatePolicyCommand(validateParams));
} catch (validateError) {
  console.error("Policy validation failed:", validateError);
  throw validateError;
}

// 验证通过后再创建策略
const nonPrimaryBucketPolicyResponse = await iamManager.iamClient.send(new CreatePolicyCommand(nonPrimaryBucketPolicy));

3. 调整策略结构（可选） #

如果Legacy解析器对Resource数组处理存在问题，可将单个Statement拆分为多个，每个对应一个ARN：

const statements = [];
// 主Bucket权限配置
statements.push({
  "Sid": "AllowPrimaryBucketAccess",
  "Effect": "Allow",
  "Action": "s3:*",
  "Resource": `arn:aws:s3:::${bucketCustomName}/*`
});

// 批量添加其他Bucket的权限配置
for (let i = 0; i < 10; i++) {
  const prefix = i >= 100 ? '' : i >= 10 ? '0' : '00';
  const bucketArn = `arn:aws:s3:::${bucketCustomName}-${prefix}${i}/*`;
  statements.push({
    "Sid": `AllowBucket${prefix}${i}Access`,
    "Effect": "Allow",
    "Action": "s3:*",
    "Resource": bucketArn
  });
}

const policySpec = {
  "Version": "2012-10-17",
  "Statement": statements
};

4. 确认策略实际生效 #

策略创建成功后，需验证权限是否正常生效：

• 确保账户A的S3 Bucket已配置Bucket策略，授权账户B的IAM实体访问
• 通过aws s3 ls s3://bucket-name等命令测试访问权限，确认策略逻辑正常

内容的提问来源于stack exchange，提问作者B Kalra