Lambda调用S3 PutObjectTagging返回AccessDenied权限错误如何解决？

• IAM策略Action配置不全
  除了核心的s3:PutObjectTagging权限外，如果S3桶开启了版本控制，还需要补充s3:PutObjectVersionTagging权限；如果逻辑涉及判断已有标签再更新，还要补s3:GetObjectTagging权限，仅配置单个Action通常无法覆盖所有场景。
• S3桶策略存在显式拒绝规则
  IAM角色的权限优先级低于S3桶策略的显式Deny规则，如果目标桶的桶策略中明确拒绝了该Lambda角色的标签操作、或者限制了可执行标签操作的IP/身份范围，哪怕角色配置了足够的Allow权限，也会触发权限拒绝。
• 上层权限管控限制
  如果账号归属AWS Organizations管理，上层的服务控制策略（SCP）如果限制了S3标签操作权限，或者账号配置了S3访问控制点拦截标签操作，都会绕过角色和桶策略的配置返回权限错误。
• 跨账号对象所有权问题
  如果待打标签的对象是其他AWS账号跨账号上传的，桶所属账号的默认身份没有该对象的修改权限，需要上传方在上传时指定bucket-owner-full-controlACL，或者配置桶的对象所有权规则强制转移所有权，否则无法修改对象标签。
• KMS加密权限遗漏
  若S3桶开启了KMS服务端加密，Lambda角色除了S3相关权限外，还需要被授予对应KMS密钥的kms:Decrypt、kms:GenerateDataKey权限，否则对加密对象执行标签修改操作也会被拦截返回AccessDenied。
• 标签规则限制触发的误导性报错
  当配置的对象标签不符合S3规范（比如单对象标签超过10个、标签键/值包含非法字符）时，部分场景下会返回误导性的AccessDenied错误，而非参数错误提示，可以先手动调用PutObjectTagging接口测试标签内容是否符合要求。

内容的提问来源于stack exchange，提问作者Marc