S3:PutEncryptionConfiguration权限与IAM策略模拟器结果不符问题咨询

你遇到的这个情况其实是IAM策略模拟器的典型局限性，它并没有模拟实际API调用时的跨服务权限依赖，具体来说：

• 策略模拟器只会检查IAM策略中直接关联的服务权限（这里你的策略给了s3:*，所以它判定s3:PutEncryptionConfiguration是允许的），但不会验证执行这个操作时可能需要的其他服务权限——也就是当你设置S3存储桶加密配置并指定**AWS KMS密钥（SSE-KMS）**时，实际调用API会额外要求对应的KMS权限（比如kms:DescribeKey、kms:CreateGrant等），但模拟器不会做这层检查。

• 如果你的加密配置用的是S3托管的SSE-S3加密（默认的AES-256），那确实不需要额外KMS权限，这时候模拟器的结果是准确的；但一旦你指定了自定义KMS密钥，实际执行时就会触发KMS权限校验，这时候即使有s3:*权限，没有KMS权限的用户还是会收到AccessDenied错误。

给你几个建议：

• 不要完全依赖IAM策略模拟器验证跨服务权限场景，最好通过实际测试（比如用AWS CLI执行aws s3api put-bucket-encryption命令）来确认权限是否生效。
• 遵循最小权限原则，避免使用s3:*这种宽泛的权限，明确列出需要的S3操作；如果使用SSE-KMS加密，记得在IAM策略中添加对应的KMS权限，比如：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "s3:PutEncryptionConfiguration"
        ],
        "Resource": "arn:aws:s3:::your-bucket-name"
      },
      {
        "Effect": "Allow",
        "Action": [
          "kms:DescribeKey",
          "kms:CreateGrant"
        ],
        "Resource": "arn:aws:kms:region:account-id:key/your-key-id"
      }
    ]
  }
  

内容的提问来源于stack exchange，提问作者lft93ryt