如何在Visual Studio AWS资源管理器中限制可查看的S3存储桶列表

你当前的IAM策略缺少AWS Toolkit加载S3资源列表的必要权限：

• AWS Toolkit的资源管理器展示S3分类时，会先调用接口拉取当前账号下所有S3存储桶的基础列表，该操作需要全局级别的s3:ListAllMyBuckets权限，你现有策略未配置该权限，所以直接触发访问拒绝报错。
• 你现有的s3:ListBucket权限仅针对dev-buckets单个桶生效，只能用于进入该桶后查看桶内对象列表，无法支撑上层的全量桶列表拉取逻辑。

使用以下自定义策略即可实现仅开放指定S3存储桶访问的最小权限要求，无需授予AmazonS3FullAccess：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListAllBucketsNameOnly",
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": "*"
        },
        {
            "Sid": "AllowListSpecificBucketContent",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::dev-buckets"
        },
        {
            "Sid": "AllowReadWriteDelSpecificBucketObjects",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::dev-buckets/*"
        }
    ]
}

补充说明 #

• 新增的s3:ListAllMyBuckets权限仅允许查询所有桶的名称列表，无法访问其他非授权桶的内容、配置，不会产生权限溢出风险。
• 如果你需要授权多个开发桶，可将Resource字段改为数组格式，示例：["arn:aws:s3:::dev-buckets", "arn:aws:s3:::test-dev-bucket"]
• 策略更新后等待2分钟左右让IAM配置生效，重启Visual Studio重新加载AWS Toolkit即可正常使用。

内容的提问来源于stack exchange，提问作者NotAgain