如何删除配置了拒绝非指定VPC Endpoint访问策略的S3存储桶？

问题根因 #

你配置的S3桶策略拒绝了所有非指定VPC端点来源的S3操作，你遇到的访问拒绝大概率是以下几个配置漏项导致的，可按以下步骤逐一排查解决：

解决方案步骤 #

• 第一步：核查指定S3 VPC端点的访问策略
  找到你导入值对应的S3网关端点，确认其端点策略没有限制你EC2挂载的IAM角色执行以下操作：
  s3:PutBucketPolicy、s3:DeleteBucket、s3:DeleteObject*
  哪怕EC2角色有管理员权限，如果VPC端点策略本身禁止该角色操作S3，请求也会被拦截。

• 第二步：确认EC2子网与VPC端点的关联
  检查EC2所在子网的路由表：

  1. 必须存在指向对应S3 VPC端点的S3服务前缀列表路由
  2. 确认该S3 VPC端点已关联EC2所在子网的路由表

• 第三步：调整操作优先级，先替换桶策略再删除
  不要直接执行删除桶操作，先在EC2中执行以下命令替换锁死的桶策略：

  aws s3api put-bucket-policy --bucket 你的桶名 --policy '{"Version": "2012-10-17", "Statement": [{"Effect": "Allow", "Principal": "*", "Action": "s3:*", "Resource": ["arn:aws:s3:::你的桶名", "arn:aws:s3:::你的桶名/*"]}]}'
  

  策略替换成功后，你可直接从任意环境清空并删除桶：

  # 如果桶开启了版本控制，加--force参数清空所有版本对象和删除标记
  aws s3 rm s3://你的桶名 --recursive --force
  aws s3api delete-bucket --bucket 你的桶名
  

• 兜底方案
  如果你排查所有配置后依然无法操作，可使用AWS根账号直接访问S3控制台删除桶策略后再删桶，根账号的S3管理权限默认不受桶策略的来源限制；如果是组织内成员账号，也可以提交AWS支持工单说明情况，申请协助删除锁死的存储桶。

内容的提问来源于stack exchange，提问作者Lukasz