为何Amazon S3对桶所有者（根凭证请求）仍评估桶策略？

从示例1（Amazon S3如何授权桶操作请求）:

2. 在桶上下文中，Amazon S3会检查桶策略以确定请求者是否有权执行该操作。Amazon S3授权该请求。

为什么桶所有者（用根凭证请求）仍需评估桶策略？ #

这是由Amazon S3的访问控制工作流设计决定的，核心原因有两点：

• 授权流程的完整性要求：S3的权限评估会按固定顺序遍历所有适用的授权机制（包括IAM用户策略、桶策略、资源ACL等），不管请求者是不是桶所有者，这个流程都会完整执行——不会因为你是资源所有者就跳过某一步校验，这是为了确保所有可能的权限规则都被纳入考量。
• 显式拒绝规则的最高优先级：在S3的权限逻辑里，显式拒绝（Deny）的优先级远高于任何允许（Allow）规则。哪怕你是桶所有者，如果桶策略里存在针对你的请求条件的显式拒绝（比如拒绝来自特定IP的所有请求，而你的请求正好来自这个IP），你的请求依然会被拦截。评估桶策略就是为了排查这类可能存在的拒绝规则。

桶所有者是否默认拥有对桶的所有操作权限？ #

是的，桶所有者默认拥有对该桶及桶内所有对象的全部操作权限，但有一个关键前提：没有被显式的拒绝规则覆盖。

• 从S3的资源所有权逻辑来看，资源所有者天生拥有资源的全权控制权，这是默认的权限基础。
• 但如果桶策略或其他授权机制中存在针对所有者请求的显式拒绝，这个默认权限会被直接覆盖。另外在实际场景中，非常不建议使用根凭证发起请求，最好创建IAM用户/角色并赋予必要权限，这样既安全又便于权限的精细化管控。

内容的提问来源于stack exchange，提问作者bytesandcaffeine