跨账号S3 Bucket对象复制调用HeadObject返回403权限禁止问题排查

以下是针对你遇到的跨账号S3复制问题的几个关键排查方向：

• 检查Lambda权限策略的Condition限制
  你的Lambda权限策略中添加了"s3:x-amz-acl": "bucket-owner-full-control"的条件，这意味着只有当复制请求中明确设置了这个ACL头部时，权限才会生效。如果你的Lambda代码在调用S3复制API（比如copy_object）时没有指定ACL='bucket-owner-full-control'参数，就会触发权限拒绝。可以先临时移除这个Condition测试是否能正常复制，再根据需求调整代码或策略。

• 确认源桶策略中的Principal账号ID正确性
  源桶策略里的Principal使用了arn:aws:iam::destination_B:root，这里的destination_B必须是目标账号的数字账号ID，而不是目标桶的名称。如果误填为桶名，会导致权限无法正确赋予目标账号，进而Lambda无法访问源桶。

• 检查源对象的所有权
  如果源桶中的对象是由其他账号上传的（而非源桶所属账号），即使源桶配置了策略，你也无法直接访问这些对象。此时需要：

  • 让源对象的所有者为目标账号添加对象级的访问权限；
  • 或者在源桶开启桶所有者强制控制（Bucket owner enforced）模式，强制所有上传到桶的对象归桶所有者所有。

• 排查Lambda的VPC网络配置
  如果你的Lambda函数部署在VPC内，需要确保已配置S3的VPC端点（Gateway或Interface端点）。没有VPC端点的话，Lambda无法通过公网访问S3，会出现看似权限问题的超时或访问失败错误。

• 查看Lambda的CloudWatch日志
  直接查看Lambda执行日志是最精准的排查方式，日志中会包含具体的错误类型（比如AccessDenied、NoSuchBucket、InvalidArgument等）和错误详情，能快速定位到底是权限、参数还是网络问题。

• 确认目标桶的权限与所有权设置
  虽然你修改了目标桶的所有权，但仍需检查：

  • 目标桶是否有拒绝写入的策略；
  • 如果开启了桶所有者优先，确保复制请求中携带的ACL不会与设置冲突（比如你指定的bucket-owner-full-control是符合要求的，但需确认代码中确实传递了该参数）。

内容的提问来源于stack exchange，提问作者zafar