S3 Bucket Policy的必要性及权限配置异常问题咨询

先拆解你遇到的两个场景：

• 场景1：用户有IAM只读权限、无Bucket Policy能正常访问：IAM策略是直接绑定到用户身份的权限，只要身份被明确允许操作，且没有全局拒绝规则（比如你开启的“拒绝公共访问”不影响身份权限的生效），就能正常访问S3资源。
• 场景2：用户无IAM策略、仅配置Bucket Policy却无法访问：你提供的Bucket Policy存在语法错误——两个Statement条目之间缺少逗号，导致整个策略无效，所以用户无法获取权限。修正语法后，仅靠Bucket Policy就能让用户访问，因为Bucket Policy作为资源策略，可直接给指定身份授予资源访问权限。

接下来讲Bucket Policy的核心价值，也就是它不可替代的必要性：

• 跨账号权限管理：IAM策略只能管控本AWS账号内的用户/角色，如果你需要给其他AWS账号的身份授权访问这个桶，Bucket Policy是唯一可行的方式。比如合作方账号需要读取你桶内的特定数据，直接在Bucket Policy里配置对方的ARN即可，无需在双方账号创建额外IAM实体。
• 集中式资源权限配置：如果有大量身份需要访问同一个桶，给每个身份单独配置IAM策略会非常繁琐。用Bucket Policy可以在桶这一层集中管理所有访问规则，减少重复操作，降低配置出错概率。
• 更精细的资源级条件控制：你可以基于桶内的特定前缀（比如test-bucket/logs/*）、对象标签、请求来源IP、请求时间、加密状态等条件设置权限。比如只允许公司IP段的用户访问桶内敏感数据，或者只允许读取带特定标签的对象，这种精细控制用IAM策略很难实现，Bucket Policy则可以轻松做到。
• 支持非IAM身份授权：如果需要给匿名用户、Web身份（比如Facebook/Google登录用户）、SAML联邦身份授权访问桶内资源，只能通过Bucket Policy配置，IAM策略无法覆盖这些场景。
• 补充IAM策略的权限边界：IAM策略是身份导向的，Bucket Policy是资源导向的，两者结合能构建更完整的权限体系。比如你可以用IAM策略给用户授予宽泛的S3权限，再用Bucket Policy在特定桶上限制用户操作，实现“宽授权+窄限制”的权限模型。

修正语法后的Bucket Policy（补全Statement间的逗号）：

{
    "Version": "2012-10-17",
    "Id": "Policy1672363253371",
    "Statement": [
        {
            "Sid": "Stmt16",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::2040:user/viewer"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::test-bucket"
        },
        {
            "Sid": "Stmt17",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::2040:user/viewer"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::test-bucket/*"
        }
    ]
}

内容的提问来源于stack exchange，提问作者user2286858