IAM用户无法查看Amazon S3存储桶：配置权限后仍报错的问题排查

我来帮你排查这个IAM用户无法访问S3控制台的问题——核心原因其实是S3控制台显示桶列表，除了需要s3:ListAllMyBuckets权限，还必须要有s3:GetBucketLocation权限，而且这个权限的资源范围得覆盖所有桶。

我们一步步拆解问题：

• 你当前的自定义策略里没有包含s3:GetBucketLocation操作，而S3控制台在拿到桶列表后，会自动调用这个API获取每个桶的区域信息，缺少这个权限的话，控制台会直接判定你没有足够权限展示桶列表。
• 哪怕你附加了AmazonS3FullAccess，也可能因为策略细节冲突或者配置疏漏导致问题，比如你自定义策略里的资源格式错误。

具体修复步骤 #

1. 补充s3:GetBucketLocation权限并修正资源格式
   把s3:GetBucketLocation添加到自定义策略的第一个Statement的Action列表中，同时修正第二个Statement里的资源路径（arn:aws:s3:::*/*是错误写法，应该指向你指定的桶xxx下的所有对象）。修改后的完整策略如下：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "VisualEditor0",
         "Effect": "Allow",
         "Action": [
           "s3:ListStorageLensConfigurations",
           "s3:ListAccessPointsForObjectLambda",
           "s3:GetAccessPoint",
           "s3:PutAccountPublicAccessBlock",
           "s3:GetAccountPublicAccessBlock",
           "s3:ListAllMyBuckets",
           "s3:GetBucketLocation", // 新增控制台必需的权限
           "s3:ListAccessPoints",
           "s3:ListJobs",
           "s3:PutStorageLensConfiguration",
           "s3:CreateJob"
         ],
         "Resource": "*"
       },
       {
         "Sid": "VisualEditor1",
         "Effect": "Allow",
         "Action": "s3:*",
         "Resource": [
           "arn:aws:s3:::xxx", // 桶本身的权限
           "arn:aws:s3:::xxx/*" // 桶内所有对象的权限
         ]
       }
     ]
   }
   

2. 排查显式拒绝与权限边界
   确认这个IAM用户没有被附加任何带有Deny效果的策略：

   • 检查用户直接附加的策略、所在IAM组的策略
   • 查看是否设置了IAM权限边界，如果有，需要确认边界允许S3的列表和位置获取操作
   • 检查目标S3桶的桶策略，是否存在拒绝该用户访问的条目

3. 验证权限并刷新控制台
   策略修改后等待2-5分钟让IAM权限生效，然后重新登录IAM用户账号，清除浏览器缓存后刷新S3页面。如果还是有问题，可以用AWS CLI测试基础权限：

   aws s3 ls --profile your-iam-user-profile
   

   要是这个命令能正常列出桶，说明权限本身没问题，大概率是浏览器缓存导致的控制台显示异常。

关于AmazonS3FullAccess的补充说明 #

AmazonS3FullAccess本身包含所有S3操作权限，包括s3:ListAllMyBuckets和s3:GetBucketLocation，如果附加后仍报错，大概率是：

• 自定义策略中的错误配置（比如错误的资源路径）干扰了权限叠加
• 用户被设置了严格的权限边界，限制了S3相关操作

内容的提问来源于stack exchange，提问作者Bình Trương