如何列出S3存储桶中带有指定标签的对象，解决IAM策略报错问题？

• s3:ExistingObjectTag IAM条件仅对对象级操作（如s3:GetObject、s3:DeleteObject）生效，无法作用于存储桶级的List类操作，将该条件绑定到s3:List*权限会直接触发权限拒绝，也无法实现过滤返回对象的效果。
• S3原生的list_objects接口不支持根据对象标签直接过滤结果，标签筛选逻辑需要额外开发实现。
• 示例代码中操作的存储桶为test-bucket，但IAM策略授权的存储桶为mynewbucket1122，桶名不匹配会直接触发权限报错。

1. 修正IAM权限策略 #

移除List操作上的标签条件，新增s3:GetObjectTagging权限用于查询对象标签，示例（请将桶名替换为你实际使用的桶名）：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListBucket",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::test-bucket"
        },
        {
            "Sid": "AllowGetObjectTagging",
            "Effect": "Allow",
            "Action": "s3:GetObjectTagging",
            "Resource": "arn:aws:s3:::test-bucket/*"
        }
    ]
}

2. 修正业务代码 #

先拉取存储桶全量对象列表，再逐个查询对象标签筛选符合要求的对象，示例代码：

import json, boto3

def lambda_handler(event, context):
    client = boto3.client("s3", region_name='us-east-1')
    bucket_name = 'test-bucket'
    # 拉取全量对象列表
    list_resp = client.list_objects(Bucket=bucket_name)
    target_objects = []
    # 没有对象的情况直接返回
    if 'Contents' not in list_resp:
        return {"matched_objects": []}
    # 遍历筛选带对应标签的对象
    for obj in list_resp['Contents']:
        tag_resp = client.get_object_tagging(Bucket=bucket_name, Key=obj['Key'])
        # 检查标签是否匹配
        for tag in tag_resp['TagSet']:
            if tag['Key'] == 'department' and tag['Value'] == 'finance':
                target_objects.append(obj)
                break
    return {"matched_objects": target_objects}

提示：如果存储桶对象量较大，建议使用S3清单功能提前生成带标签的对象清单，降低接口调用成本。

内容的提问来源于stack exchange，提问作者Manish Pal