AWS Policy Generator配置S3 ARN提示资源字段无效原因咨询

故障表现 #

通过AWS Policy Generator创建S3存储桶策略时，系统返回报错：

Resource field is not valid. You must enter a valid ARN.

• 报错界面截图：
  
• 操作目标：为名为lam.nguyen-test的S3存储桶新增策略声明，对应存储桶截图：
  

已配置参数 #

Principal: *
Resource ARN: arn:aws:s3:::lam.nguyen-test/*

报错触发原因 #

报错由资源ARN与所选策略操作的作用范围不匹配导致，与存储桶名称合法性无关：

• 配置中填写的arn:aws:s3:::lam.nguyen-test/*为对象级资源ARN，仅匹配存储桶内的所有对象，不覆盖存储桶本身资源
• 若策略中包含任意作用于存储桶本身的桶级操作（例如s3:ListBucket、s3:PutBucketPolicy、s3:GetBucketLocation等），这类操作要求对应资源必须填写桶自身的ARN：arn:aws:s3:::lam.nguyen-test
• 若单条策略声明同时包含桶级操作、对象级操作（例如s3:GetObject、s3:PutObject这类作用于文件对象的操作），需要在Resource字段同时填入两个合法ARN：

arn:aws:s3:::lam.nguyen-test
arn:aws:s3:::lam.nguyen-test/*

内容的提问来源于stack exchange，提问作者Nguyen Lam