如何在AWS S3 IAM策略中优雅指定多文件夹访问权限

嘿，这个问题我之前帮不少开发者踩过坑——S3所谓的“文件夹”根本不是真正的层级目录，而是用前缀（Prefix）+ 斜杠分隔符模拟出来的扁平结构。这就是为什么你直接写单个子文件夹ARN（比如arn:aws:s3:::root_folder_bucket/subfolder1/）看起来语法没问题，但实际不生效的原因：那个ARN只对应“文件夹标记”本身，不包含里面的文件！

最优雅且有效的写法：前缀通配符+条件判断结合 #

要精准限制访问subfolder1、subfolder2、subfolder3这三个子文件夹（包括里面的所有对象），同时排除somefolder，最规范也最易维护的方式是结合资源前缀和s3:prefix条件。直接上示例策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/YourUserName"
            },
            "Action": [
                "s3:ListBucket",
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::root_folder_bucket",
                "arn:aws:s3:::root_folder_bucket/subfolder1/*",
                "arn:aws:s3:::root_folder_bucket/subfolder2/*",
                "arn:aws:s3:::root_folder_bucket/subfolder3/*"
            ],
            "Condition": {
                "StringLike": {
                    "s3:prefix": [
                        "",
                        "subfolder1/",
                        "subfolder1/*",
                        "subfolder2/",
                        "subfolder2/*",
                        "subfolder3/",
                        "subfolder3/*"
                    ]
                }
            }
        }
    ]
}

关键细节拆解： #

• Resource部分：
  • 必须包含桶本身（arn:aws:s3:::root_folder_bucket），不然用户连ListBucket（列出文件夹内容）的权限都没有；
  • subfolderX/*用来匹配该子文件夹下的所有对象（包括嵌套的子文件夹和文件）。
• Condition部分：
  • s3:prefix条件是为了限制列表操作——用户在桶根目录只能看到被允许的三个子文件夹，看不到somefolder；
  • 空字符串""是为了允许用户访问桶根目录，但结合其他前缀规则，实际只会显示授权的文件夹。

有没有更简洁的写法？ #

如果你的三个子文件夹命名规整（比如都是subfolder加数字），可以用S3支持的字符范围通配符来简化，让策略更紧凑：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/YourUserName"
            },
            "Action": [
                "s3:ListBucket",
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::root_folder_bucket",
                "arn:aws:s3:::root_folder_bucket/subfolder[1-3]/*"
            ],
            "Condition": {
                "StringLike": {
                    "s3:prefix": [
                        "",
                        "subfolder[1-3]/",
                        "subfolder[1-3]/*"
                    ]
                }
            }
        }
    ]
}

总结一下： #

不存在能绕过前缀/条件的“神奇写法”，因为S3的存储模型就是基于前缀的——但通过通配符和条件的组合，已经能写出简洁、易维护且完全生效的策略。之前那种直接写单个文件夹ARN的方式，只适用于针对“文件夹标记”本身的操作（比如删除文件夹），完全覆盖不了里面的文件，所以才会看起来没报错但没用。

内容的提问来源于stack exchange，提问作者Alan Kis