AWS S3 DeleteObject操作AccessDenied权限错误排查求助

• 检查存储桶的**阻止公共访问（Block Public Access）**设置
  进入S3控制台目标桶的「权限」标签，查看「阻止公共访问」配置。若开启了「阻止所有公共访问」或「阻止存储桶和对象公共访问」，会直接覆盖桶策略中的公开权限配置，即使策略允许*访问也无法生效。需根据需求调整阻止项，或修改策略适配现有公共访问限制。

• 验证IAM用户权限的实际生效情况

  • 使用该IAM用户凭证通过AWS CLI执行命令：aws s3api delete-object --bucket my-bucket --key uploads/img.jpg，若同样报错则排除代码问题，聚焦权限配置；若CLI执行成功，需检查Boto3客户端是否使用了正确的凭证（比如是否误用其他环境的凭证、配置文件中的profile是否匹配）。
  • 利用IAM「策略模拟器」，针对资源arn:aws:s3:::my-bucket/uploads/img.jpg测试该用户的s3:DeleteObject权限，直观查看是否存在拒绝策略覆盖允许权限的情况。

• 检查存储桶版本控制状态
  若桶开启了版本控制，delete_object默认仅添加删除标记而非真正删除对象，但通常不会返回AccessDenied。若存在版本控制相关权限限制（如缺少s3:DeleteObjectVersion权限），可能引发错误。可尝试临时关闭版本控制，或为IAM用户添加s3:DeleteObjectVersion权限测试。

• 确认对象路径与桶名准确性
  核对代码中Bucket名称是否与实际一致（注意S3桶名全局唯一且部分区域对大小写敏感），Key路径是否完全匹配（如是否存在多余斜杠、拼写错误，确认uploads/img.jpg确实存在于目标桶中）。

• 排查拒绝类策略
  检查IAM用户的所有附加策略、账户级服务控制策略（SCP），确认是否存在拒绝s3:DeleteObject操作的规则——拒绝策略优先级高于允许策略，即使配置了全权限也会被覆盖。

• 检查Boto3客户端配置
  确认Boto3客户端初始化时指定了正确的区域（如桶位于us-east-1，客户端却使用us-west-2可能导致权限验证异常），初始化示例：

  client = boto3.client('s3', region_name='your-bucket-region')
  

内容的提问来源于stack exchange，提问作者Jarvis Millan