已授予AdministratorAccess权限时配置S3服务端加密仍报AccessDenied错误

以下是该场景下最可能的触发原因，按排查优先级排序：

• AWS Organizations服务控制策略(SCP)限制
  若当前账号归属于AWS Organizations组织，即使账号内身份已授予AdministratorAccess权限，上层组织单元(OU)或组织全局配置的SCP如果存在s3:PutEncryptionConfiguration操作的显式拒绝规则，会作为权限边界覆盖账号内的权限配置。测试账号通常不受生产环境的严格SCP限制，因此可以正常运行配置。
• 调用身份存在额外显式拒绝策略
  显式拒绝规则的优先级高于任意允许规则：若你使用的IAM用户/角色除AdministratorAccess外，还附加了其他包含s3:PutEncryptionConfiguration拒绝规则的策略，或所属的IAM用户组有对应拒绝策略，都会触发权限报错。
• 目标S3桶名已被全局占用
  S3桶名是全球AWS范围内唯一的资源标识，若你配置的bucket = "my_bucket"名称已被其他AWS账号的用户提前注册，你对该桶名的所有修改操作都会触发AccessDenied报错。测试账号运行时可能使用了不同的桶名、或该桶名在测试时未被占用，可更换带有唯一标识（如账号ID、环境标识）的桶名重试验证。
• 实际调用身份与预期不符
  可通过aws sts get-caller-identity命令验证Terraform调用时使用的凭证对应的ARN，确认该身份确实已附加AdministratorAccess策略，避免误用了其他低权限身份的凭证。
• 账号级S3访问控制策略限制
  部分企业会在账号级别配置S3的全局控制策略（如通过AWS Config规则强制加密配置、或账号级资源策略限制加密修改操作），也会覆盖身份级的权限配置。

内容的提问来源于stack exchange，提问作者Dimi