S3桶匿名上传配置问题：桶主无法获取上传文件完全权限

首先，咱们来拆解你遇到的问题：你作为桶主能看到文件但无法操作，大概率是现有策略的逻辑易踩坑，再加上可能和桶的公共访问设置冲突导致的，同时你的策略写法也可以更简洁安全。

现有策略的问题点 #

你的第二个Deny语句虽然意图是限制匿名用户，但NotPrincipal+NotAction的组合逻辑很容易让人混淆，还可能引发意外问题：

1. 逻辑歧义导致权限冲突：这个语句的意思是「所有不是root的用户，除了PutObject和PutObjectAcl之外的所有动作都被拒绝」，理论上root用户不受影响，但如果你的AWS账号有组织级SCP限制、或者桶的Block Public Access设置中开启了「Block public access to buckets and objects granted through any access control lists (ACLs)」，那即使上传时设置了bucket-owner-full-control，桶主也无法获得文件的完全控制权。
2. 未明确保障桶主权限：虽然AWS默认桶主有完全权限，但在复杂策略组合下，明确声明允许桶主的所有动作能彻底避免意外拦截。

更优的策略写法（精准满足需求） #

下面这个策略逻辑清晰，严格实现「匿名仅上传，桶主完全控制」的目标：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowBucketOwnerFullControl",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123:root"
      },
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::testbucket123",
        "arn:aws:s3:::testbucket123/*"
      ]
    },
    {
      "Sid": "AllowAnonymousPutObjectWithBucketOwnerACL",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::testbucket123/*",
      "Condition": {
        "StringEquals": {
          "s3:x-amz-acl": "bucket-owner-full-control"
        }
      }
    },
    {
      "Sid": "DenyAnonymousOtherActions",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::testbucket123",
        "arn:aws:s3:::testbucket123/*"
      ],
      "NotAction": "s3:PutObject"
    }
  ]
}

策略各部分解释 #

• 第一个Statement：明确允许桶主（root账号）对桶本身和所有对象执行所有S3操作，彻底消除权限冲突隐患。
• 第二个Statement：允许匿名用户（Principal: "*"）上传对象，但强制要求上传时必须携带x-amz-acl: bucket-owner-full-control请求头，确保桶主自动获得上传文件的所有权和完全控制权，不符合条件的上传请求会直接被拒绝。
• 第三个Statement：拒绝匿名用户执行除PutObject之外的所有操作，确保匿名用户只能上传，无法查看、删除或修改任何内容。

额外注意事项 #

1. 检查Block Public Access设置：务必关闭「Block public access to buckets and objects granted through any access control lists (ACLs)」选项，否则上传时的bucket-owner-full-control ACL会被忽略，桶主无法获得文件权限。
2. 测试上传请求：匿名用户上传时必须携带x-amz-acl: bucket-owner-full-control请求头，否则会被拒绝上传（这正是我们想要的，确保桶主对所有上传文件拥有控制权）。
3. 避免复杂逻辑：尽量用明确的Allow和Deny组合替代NotPrincipal/NotAction这类易混淆的逻辑，降低后续维护成本。

内容的提问来源于stack exchange，提问作者deeveeABC