如何创建指定特定AWS账户下所有S3存储桶的ARN并配置对应IAM策略

你提到的S3 ARN本身不包含账户ID字段，无法直接通过ARN前缀匹配限定为单个账户下的所有存储桶的表述是正确的，直接编写"Resource": "arn:aws:s3::<accountid>:*"的格式不符合S3 ARN规范，不会生效。但目前已有官方支持的方案实现你要的权限控制效果。

方案1：使用s3:ResourceAccount IAM条件键（官方推荐） #

这是AWS官方推出的专门用于限制S3访问仅针对指定账户下存储桶的条件键，直接在IAM策略中添加条件约束即可，不需要额外对存储桶做配置。示例策略如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*",
                "s3:Put*"
            ],
            "Resource": [
                "arn:aws:s3:::*/*",
                "arn:aws:s3:::*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": "<你要限定的目标账户ID>"
                }
            }
        }
    ]
}

这个条件会自动校验你访问的S3存储桶所属的账户ID，只有匹配指定ID的存储桶才会允许访问，完全实现你要的「仅允许访问指定账户下所有S3存储桶及对象」的需求，不需要预先知道存储桶名称，也不会授权访问其他AWS账户的存储桶。

方案2：存储桶统一标签+IAM条件匹配 #

如果你的账户下所有存储桶都提前打了统一的专属标签（比如标签键为BelongAccount，值为你的账户ID），也可以通过标签条件做限制，示例条件配置：
"Condition": {"StringEquals": {"s3:ResourceTag/BelongAccount": "<你的账户ID>"}}
这种方式的局限性是必须确保所有新创建的存储桶都自动打上对应标签，否则新桶会不在授权范围内，不如方案1便捷。

• s3:ResourceAccount条件键支持所有S3操作，不需要额外付费，无性能损耗
• 如果你还需要排除当前账户下的个别存储桶，可额外在策略中添加NotResource字段指定要排除的存储桶ARN即可

内容的提问来源于stack exchange，提问作者208_man