配置S3 IAM策略时报无效动作s3:ListObjects不存在的问题咨询

• 直接触发报错的原因：AWS IAM体系中不存在s3:ListObjects这个可授权的动作，只要在策略的Action列表里写入这个字符串，IAM语法校验环节就会直接判定无效，抛出“动作不存在”的提示，甚至会自动给出是否要替换为s3:ListBucket的建议。
• 认知偏差来源：很多人会把S3的公开API操作名（ListObjects）和IAM权限动作名划等号，但实际AWS的权限设计是：列举桶内所有对象列表的操作，授权校验逻辑直接绑定的是s3:ListBucket动作，不存在单独的s3:ListObjects权限点。你当前策略里已经加了s3:ListBucket，完全覆盖了列举对象的权限需求，额外加s3:ListObjects只会触发语法错误。
• 隐藏的配置隐患：你现有策略还有资源匹配错位的问题：s3:PutObject、s3:GetObject属于对象级操作，必须绑定到具体对象的ARN才能完成权限校验，但你现在配置的Resource全是桶级别的ARN（不带/*后缀），就算修正了动作名，后续调用对象读写操作时也会出现权限不生效的问题。

• 第一步：从Action列表中移除无效的s3:ListObjects条目。
• 第二步：补充对象层级的ARN匹配规则，把对象级操作对应的资源路径加入Resource列表，覆盖桶和桶内所有对象的匹配范围。

修正后的可正常通过校验的策略如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3fileAccess",
            "Effect": "Deny",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::files-*",
                "arn:aws:s3:::log-files-*",
                "arn:aws:s3:::files-*/*",
                "arn:aws:s3:::log-files-*/*"
            ]
        }
    ]
}

内容的提问来源于stack exchange，提问作者Saurabh Raoot