如何解除S3对象所有者限制 实现跨账户Lambda读取桶内所有对象

问题根因 #

你此前配置bucket-owner-full-control后Lambda仍无法读取的核心原因是：该ACL仅为桶所有者账号开放了对象权限，未覆盖第三方独立的Lambda账号，且默认情况下S3对象权限优先级高于桶策略，导致桶级授权无法跨对象所有者生效。

最优方案：启用S3桶所有权强制管控（完全匹配核心诉求） #

该方案无需调整任何账号配置，完全禁用对象级ACL，所有上传到桶的对象所有权自动归属桶账号，所有访问权限完全由桶策略统一管控，只要身份在桶策略中被授予s3:GetObject权限，就能读取所有对象，完全不受上传者账号限制。

CloudFormation配置示例 #

在S3桶资源的OwnershipControls配置段添加如下规则即可：

YourS3Bucket:
  Type: AWS::S3::Bucket
  Properties:
    # 其他原有桶配置保持不变
    OwnershipControls:
      Rules:
        - ObjectOwnership: BucketOwnerEnforced

启用后无需再为任何上传对象单独配置ACL，存量对象也会自动适用所有权规则，仅需在桶策略中为Lambda所属账号授予s3:GetObject权限，Lambda即可正常读取全桶所有来源的对象。

替代方案：桶策略跨账号授权（无法修改桶所有权配置时使用） #

如果当前环境不允许修改桶所有权配置，可以通过以下配置实现需求：

1. 局域网设备上传数据时，统一附带bucket-owner-full-controlACL，批量上传命令示例：

aws s3 cp /本地/数据目录 s3://目标桶名/存储前缀/ --recursive --acl bucket-owner-full-control

2. 在S3桶策略中添加全局读取授权，直接给Lambda所属账号开放全桶对象读取权限，配置示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::Lambda所属AWS账号ID:root"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::目标桶名/*"
    }
  ]
}

存量数据修复方案 #

如果已经有大量未配置正确ACL的存量对象，可以通过批量命令统一授权Lambda账号读取权限，示例：

aws s3api list-objects --bucket 目标桶名 --prefix 存量对象前缀 | jq -r '.Contents[].Key' | xargs -I {} aws s3api put-object-acl --bucket 目标桶名 --key {} --grant-read id=<Lambda账号的规范ID>

内容的提问来源于stack exchange，提问作者Darren Oakey