使用IAM角色限制S3 Bucket访问失效问题求助

你的策略框架是对的，但出现权限拒绝可能是以下几个原因，逐一排查：

1. 桶名拼写或格式错误 #

确保策略中arn:aws:s3:::bucketname和arn:aws:s3:::bucketname/*里的bucketname是实际桶的准确名称，注意S3桶名仅支持小写字母、连字符和点，拼写错误会直接导致权限不匹配。

2. 混淆了桶级和账户级列表权限 #

你用get-s3bucket（对应APIListAllMyBuckets）尝试列出所有桶，但你的策略只允许ListBucket（单桶内对象列表），所以这个命令被拒绝是正常的。要测试单桶权限，应该用：

aws s3 ls s3://bucketname
aws s3 cp local-file.txt s3://bucketname/
aws s3 cp s3://bucketname/remote-file.txt ./

这些操作才会匹配你策略里的权限范围。

3. 存在其他权限限制 #

• 桶策略冲突：检查目标S3桶的桶策略，是否有Deny语句阻止了该IAM角色的访问。AWS权限判断中Deny优先级高于Allow，若桶策略明确拒绝，即使IAM角色有允许权限也会失效。
• IAM权限边界/SCP：确认该角色是否被附加了权限边界，或者所在AWS组织的服务控制策略（SCP）限制了S3操作。
• 服务器端加密（SSE）权限：如果桶开启了SSE-KMS加密，上传/下载对象时还需要额外的KMS权限，需在策略中添加：

  {
    "Effect": "Allow",
    "Action": [
      "kms:GenerateDataKey",
      "kms:Decrypt"
    ],
    "Resource": "arn:aws:kms:region:account-id:key/key-id"
  }
  

  替换为对应KMS密钥的ARN。

4. 确认角色扮演后的凭证有效性 #

切换角色后，执行以下命令确认当前使用的是目标角色的身份：

aws sts get-caller-identity

检查返回的Arn是否为你创建的角色ARN，避免使用了旧的用户凭证。

修正后的完整策略示例 #

如果以上排查均无问题，确保策略如下（替换为实际桶名）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::your-actual-bucket-name"
    },
    {
      "Effect": "Allow",
      "Actions": ["s3:PutObject", "s3:GetObject"],
      "Resource": "arn:aws:s3:::your-actual-bucket-name/*"
    }
    // 若启用KMS加密，添加上述KMS权限语句
  ]
}

内容的提问来源于stack exchange，提问作者SanV