AWS IAM用户重命名后跨账户S3存储桶策略是否自动更新？

结论 #

跨账户引用的IAM用户重命名后，其他账户的S3存储桶策略不会自动更新引用，你描述的场景中账户B的S3存储桶策略仍会保留指向用户A的授权配置，不会自动切换为用户A2。

原因说明 #

• 同账户内IAM用户重命名时，AWS会自动扫描本账户下所有关联的资源策略（包括S3存储桶策略），同步更新其中对应用户的Principal引用，这是仅对同账户资源生效的自动同步能力。
• 跨账户场景下，账户B的S3存储桶策略属于账户B的私有资源，AWS无权限自动修改其他账户的资源配置，因此不会主动更新账户B策略中的旧用户名引用。

影响与修复 #

此时账户B的存储桶策略中配置的arn:aws:iam::[账户A的ID]:user/用户A对应的实体已经不存在，用户A2访问账户B的S3桶时会触发权限拒绝。需要账户B的管理员手动修改存储桶策略，将Principal中的用户路径更新为arn:aws:iam::[账户A的ID]:user/用户A2即可恢复授权。

内容的提问来源于stack exchange，提问作者Testmouse