如何从S3 putBucketPolicy返回的400错误中识别无效账号或ARN

API 探路者

2026-9-26

结论

S3的putBucketPolicy接口默认返回的400错误不会直接透出所有无效主体，你可以通过以下两种方式定位具体无效账号：

方法1：直接提取SDK返回的错误信息

AWS在多数商用区域已经优化了该接口的错误返回粒度，当存在无效主体时，错误对象的message字段会直接标注对应的ARN值，示例返回如下：

Invalid principal in policy: "AWS":"arn:aws:iam::123456789012:role/invalid-role"

你可以通过正则匹配直接从错误信息中提取出无效的ARN值，无需额外调用接口。

方法2：分块校验定位无效主体

如果错误返回的信息过于笼统，你可以通过逐个校验Principal的方式批量定位，Node.js示例代码如下（基于AWS SDK v3）：

import { S3Client, PutBucketPolicyCommand } from "@aws-sdk/client-s3";

// 初始化客户端
const s3Client = new S3Client({ region: "替换为你的桶所属区域" });
const BUCKET_NAME = "替换为你的桶名";
// 填写你原策略中的所有AWS主体ARN
const PRINCIPAL_LIST = [
  "arn:aws:iam::111122223333:root",
  "arn:aws:iam::444455556666:role/test-role",
  "arn:aws:iam::777788889999:user/test-user"
];

const invalidPrincipals = [];

for (const principal of PRINCIPAL_LIST) {
  // 构造仅含当前待校验主体的测试策略
  const testPolicy = JSON.stringify({
    Version: "2012-10-17",
    Statement: [
      {
        Effect: "Allow",
        Principal: { AWS: principal },
        Action: "s3:ListBucket",
        Resource: `arn:aws:s3:::${BUCKET_NAME}`
      }
    ]
  });

  try {
    await s3Client.send(new PutBucketPolicyCommand({
      Bucket: BUCKET_NAME,
      Policy: testPolicy
    }));
  } catch (err) {
    if (err.$metadata.httpStatusCode === 400 && err.message.includes("Invalid principal")) {
      invalidPrincipals.push(principal);
    }
  }
}

console.log("检测到的无效主体：", invalidPrincipals);