如何删除启用版本控制的S3对象？权限正常却无法删除的解决方法

核心原因 #

启用版本控制的S3存储桶中，普通的DeleteObject权限仅能给对象添加删除标记（并非真正删除对象的历史版本），如果要彻底删除特定版本的对象，或者删除操作直接报错，大概率是缺少针对版本对象的专属权限。

具体修复步骤 #

1. 补充对应权限
   根据你的删除需求，确保IAM用户/角色的权限策略包含以下权限：

   • 仅需添加删除标记（保留历史版本）：确认已有s3:DeleteObject权限（你已核实，但可再次检查策略是否正确关联到用户）
   • 彻底删除特定版本对象：必须添加s3:DeleteObjectVersion权限
   • 管理桶版本控制状态：额外添加s3:PutBucketVersioning权限

   示例有效权限策略片段：

   {
       "Effect": "Allow",
       "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion",
           "s3:ListBucket",
           "s3:DeleteObject",
           "s3:DeleteObjectVersion"
       ],
       "Resource": [
           "arn:aws:s3:::your-bucket-name",
           "arn:aws:s3:::your-bucket-name/*"
       ]
   }
   

2. 调整删除操作方式

   • 控制台操作：进入S3桶的「版本」视图，选中具体的对象版本后执行删除，默认视图的删除仅会添加删除标记，不会真正移除版本
   • CLI/SDK操作：需要指定版本ID来删除特定版本，示例CLI命令：

     aws s3api delete-object --bucket your-bucket-name --key object-key --version-id your-version-id
     

3. 排查桶策略与组织级限制
   即使IAM用户有权限，桶策略（Bucket Policy）或AWS Organizations的SCP（服务控制策略）可能存在Deny语句限制了s3:DeleteObject或s3:DeleteObjectVersion权限，检查这些策略是否封锁了删除操作。

4. 验证对象所有权设置
   如果对象是由其他AWS账户上传的，需确保桶的「对象所有权」设置为「桶所有者优先」，否则可能无法删除其他账户上传的对象版本。可在S3桶的「权限」→「对象所有权」中调整该设置。

内容的提问来源于stack exchange，提问作者AWS cloud learner