GCP数据传输API所需s3:GetBucketLocation权限是否可访问S3全桶数据？

核心结论：无论你被授予前缀级还是桶级的s3:GetBucketLocation权限，该权限仅允许调用接口查询存储桶所属的AWS区域信息，不会提供任何桶内对象的读取、列举权限，完全不存在开通全桶数据读取路径的可能。

• AWS IAM权限严格按操作粒度隔离：s3:GetBucketLocation属于桶元数据操作类权限，和对象数据操作类的s3:GetObject、桶内对象列举类的s3:ListBucket是完全独立的权限，互不关联。即便拥有完整的s3:GetBucketLocation权限，没有对应s3:GetObject/s3:ListBucket的授权，也无法读取任何桶内数据、也无法列举桶内的对象列表。
• 前缀级配置s3:GetBucketLocation本质是IAM权限的资源限定写法，仅缩小了该权限的生效范围，不会额外扩大权限的能力边界，该权限依然仅能用于查询区域信息，没有其他额外能力。
• 针对GCP Storage Transfer Service的使用场景，谷歌要求该权限的唯一作用是让传输服务先定位S3桶所在的区域，再就近发起数据传输任务，完全不会用该权限做任何数据访问相关的操作。

如果客户担心桶级权限的风险，可以使用如下最小权限IAM配置，既满足传输需求，又完全避免全桶数据泄露：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetBucketLocation",
            "Resource": "arn:aws:s3:::客户S3桶名"
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::客户S3桶名",
            "Condition": {
                "StringLike": {
                    "s3:prefix": "你的专属前缀/*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::客户S3桶名/你的专属前缀/*"
        }
    ]
}

注：s3:GetBucketLocation本身是桶级操作，资源只能填写桶ARN，该操作本身不涉及任何对象级访问，就算授予桶级的该权限也不会产生任何数据泄露风险。

内容的提问来源于stack exchange，提问作者Hedieh Moradi