如何用单条IAM Policy实现多S3桶的最小权限管控？

完全可以通过标签匹配+IAM条件语句实现单策略复用，同时严格遵循最小权限原则。你之前尝试的方向是对的，大概率是配置细节没到位，以下是具体实现方案：

核心思路 #

给所有S3桶和对应的Lambda执行角色打上配对标签（比如Lambda-Pair: bucket-001），然后在IAM策略中通过条件判断，仅允许角色访问带有相同配对标签的S3资源。同时复用同一个Lambda函数，通过触发器传递的事件识别目标桶。

步骤1：统一标签配置 #

• 给每个S3桶添加标签：Key=Lambda-Pair, Value=unique-prefix-xxx（比如unique-prefix-001到unique-prefix-100）
• 给对应的Lambda执行角色添加完全相同的标签：Key=Lambda-Pair, Value=unique-prefix-xxx

步骤2：编写通用IAM策略 #

创建一条复用的IAM策略，通过aws:ResourceTag和aws:PrincipalTag条件实现配对访问：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
                // 按需添加Lambda需要的其他S3操作，比如ListBucket、DeleteObject等
            ],
            "Resource": [
                "arn:aws:s3:::*/*",
                "arn:aws:s3:::*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Lambda-Pair": "${aws:PrincipalTag/Lambda-Pair}"
                }
            }
        },
        // Lambda基础日志权限，按需保留
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:*"
        }
    ]
}

步骤3：复用Lambda函数 #

不需要创建100个相同的Lambda，只需要一个通用函数，通过S3触发器事件中的bucket字段识别目标桶：

import boto3

s3 = boto3.client('s3')

def lambda_handler(event, context):
    # 从触发事件中提取目标桶名和对象键
    bucket_name = event['Records'][0]['s3']['bucket']['name']
    object_key = event['Records'][0]['s3']['object']['key']
    
    # 基于桶名执行业务逻辑
    print(f"Processing object {object_key} from bucket {bucket_name}")
    # 示例：读取对象内容
    response = s3.get_object(Bucket=bucket_name, Key=object_key)
    # ... 后续业务代码

步骤4：配置触发器与角色关联 #

• 给通用Lambda函数绑定上述通用IAM策略的角色
• 给每个S3桶添加Lambda触发器，选择同一个通用函数即可

关键注意事项 #

1. 标签一致性：桶和角色的标签必须完全匹配，IAM对标签大小写敏感
2. 权限精准度：根据实际需求缩小Action范围，比如不需要写权限就移除s3:PutObject
3. 角色信任关系：确保Lambda角色的信任策略允许lambda.amazonaws.com扮演该角色，无需针对每个桶修改
4. 标签安全性：避免使用易猜测的标签值（如直接用桶名），建议用随机前缀或唯一标识

内容的提问来源于stack exchange，提问作者OverlordQ