如何在启用S3阻止所有公共访问时配置跨账户桶权限？

核心问题分析 #

你遇到的405 Forbidden错误和权限问题，本质是策略资源范围不全，以及对S3公共访问阻止机制的误解：开启所有公共访问阻止仅限制外部公共访问，完全不影响同一根账户内IAM用户的正常权限，所以根本不需要关闭任何公共访问阻止选项。

具体解决方案 #

1. 修正UserA的内嵌IAM策略

你的现有策略只授权了对象级资源（arn:aws:s3:::imagebucket/*），但部分必要操作（比如检查桶存在、列出桶内容）需要桶级资源权限。同时遵循最小权限原则，只授予需要的操作，而非s3:*：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowImageBucketAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",    // 上传对象
                "s3:GetObject",    // 获取对象
                "s3:ListBucket",   // 列出桶内对象（如果应用需要）
                "s3:GetBucketLocation"  // 获取桶区域（部分SDK需要）
            ],
            "Resource": [
                "arn:aws:s3:::imagebucket",  // 桶级资源
                "arn:aws:s3:::imagebucket/*" // 对象级资源
            ]
        }
    ]
}

2. 删除不必要的桶策略

由于UserA和存储桶属于同一根账户，桶策略完全多余——IAM用户的内嵌策略已经足够授权，保留桶策略反而可能因公共访问阻止的规则（尤其是第三项）导致权限混淆，直接删除即可。

3. 检查应用请求方式

405错误通常是HTTP方法不匹配：

• 如果应用直接上传文件，确保使用PUT方法（S3标准上传方式）
• 如果使用表单POST上传，需在IAM策略中添加s3:PostObject权限

验证步骤 #

1. 确保所有“阻止公共访问”选项保持开启
2. 用UserA的凭证重新测试应用上传/下载
3. 若仍有问题，检查CloudTrail日志，查看具体被拒绝的操作和资源，针对性调整权限

内容的提问来源于stack exchange，提问作者overdeveloping