IAM角色已授权访问S3存储桶，是否还需配置存储桶策略？

先直接给你结论：你例子里的IAM角色完全可以访问这个S3桶的文件，而且AWS S3的授权逻辑允许你只用IAM角色权限或者桶策略其中一种方式来授权，不需要两者同时配置。

下面详细拆解逻辑：

核心授权逻辑："允许即通过，拒绝优先" #

AWS S3的访问控制是基于累加允许+拒绝优先的规则：

• 只要有任何一种授权机制（IAM身份权限、桶策略、SCP等）给了允许的权限，并且没有任何拒绝策略命中当前请求，那么这个请求就会被允许。
• 拒绝策略的优先级是最高的——哪怕有100条允许，只要有1条拒绝匹配，请求就会被拒绝。

两种授权方式可以单独使用 #

你完全不需要同时配置IAM角色权限和桶策略，任选其一就能实现授权：

• 只用IAM角色权限：给你的IAM角色附加类似这样的权限策略（允许访问目标桶）：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "s3:GetObject",
                  "s3:ListBucket"
              ],
              "Resource": [
                  "arn:aws:s3:::your-bucket-name",
                  "arn:aws:s3:::your-bucket-name/*"
              ]
          }
      ]
  }
  

  此时哪怕桶策略是空的（或者默认没有附加策略），只要没有拒绝语句，这个角色就能正常访问桶。

• 只用桶策略：不给IAM角色加任何S3相关权限，而是在桶策略里直接指定允许该角色访问：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Principal": {
                  "AWS": "arn:aws:iam::123456789012:role/your-role-name"
              },
              "Action": [
                  "s3:GetObject",
                  "s3:ListBucket"
              ],
              "Resource": [
                  "arn:aws:s3:::your-bucket-name",
                  "arn:aws:s3:::your-bucket-name/*"
              ]
          }
      ]
  }
  

  这种情况下，角色同样能访问桶。

回到你的具体场景 #

你的IAM角色已经配置了访问该桶的权限，桶策略既没有提及这个角色，也没有任何拒绝语句——这种情况完全符合"有允许权限+无拒绝"的条件，所以角色可以正常访问桶内的文件。

额外注意事项 #

• 别忽略信任策略：IAM角色的信任策略必须允许合适的实体（比如EC2实例、Lambda函数、特定IAM用户）来扮演它，不然就算权限够，也没法获取角色的临时凭证去访问S3。
• ACL的影响：如果桶或者对象的ACL设置了严格的权限，也可能影响访问，但现在AWS官方更推荐用IAM和桶策略来管理权限，ACL作为补充。

内容的提问来源于stack exchange，提问作者Kyle