S3存储桶创建强制标签IAM策略报错排查

你当前的策略无法在S3场景生效，核心是两个配置误区：

• 错误使用了全局条件键 aws:RequestTag：这个条件键适配EC2、Elastic Beanstalk等在请求根参数中传递标签的服务，但S3创建桶时标签是通过独立的标签配置段、专属请求头传递，全局请求标签键无法捕获这部分参数，会直接判定请求未携带标签，触发无差别拒绝。
• 缺少S3标签写入的基础权限依赖：S3服务有特殊逻辑，如果调用创建桶接口的身份没有 s3:PutBucketTagging 权限，请求中携带的标签参数会被服务端直接丢弃，根本不会进入IAM策略的条件校验环节，哪怕你传了符合要求的标签，也会被Null条件判定为缺失。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EnforceRequiredTagsOnBucketCreation",
            "Effect": "Deny",
            "Action": "s3:CreateBucket",
            "Resource": "*",
            "Condition": {
                "Null": {
                    "s3:RequestObjectTag/Tag1": "true",
                    "s3:RequestObjectTag/Tag2": "true"
                }
            }
        },
        {
            "Sid": "PreventRequiredTagsRemovalAfterCreation",
            "Effect": "Deny",
            "Action": [
                "s3:PutBucketTagging",
                "s3:DeleteBucketTagging"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "s3:ResourceTag/Tag1": "true",
                    "s3:ResourceTag/Tag2": "true"
                }
            }
        }
    ]
}

• 给需要创建S3桶的IAM身份附加 s3:PutBucketTagging 的允许权限，否则创建阶段传入的标签会被S3服务过滤，导致校验逻辑永远无法命中合法请求
• 不要把校验范围只局限在 s3:CreateBucket 动作，必须覆盖 s3:PutBucketTagging、s3:DeleteBucketTagging 两个标签修改动作，避免用户创建桶之后删除强制要求的标签
• 所有S3场景的标签校验统一使用S3专属条件键：请求传参阶段校验用 s3:RequestObjectTag/<标签键>，已存在资源的标签校验用 s3:ResourceTag/<标签键>，不要和其他服务的全局标签条件键混用。

从你提供的报错信息来看，返回的是IAM显式拒绝，正是因为条件键无法正确识别请求中携带的标签，所有创建请求都被两条Deny规则无差别拦截导致的。

内容的提问来源于stack exchange，提问作者gromyk