为何我会收到‘Policy has invalid action’错误提示？

我来帮你拆解这个问题——这个报错本质是S3操作（Action）和你指定的资源（Resource）格式不匹配，这是S3权限配置里非常常见的坑，因为不同的S3操作对应完全不同的资源ARN格式。

问题具体分析 #

1. 关于s3:CreateBucket：
   这个操作是用来创建桶的，它的作用对象是桶本身，对应的资源ARN格式必须是arn:aws:s3:::your-bucket-name（或者用arn:aws:s3:::*允许创建任意桶）。如果你的策略里给的是带/*后缀的对象级资源（比如arn:aws:s3:::my-bucket/*），那这个操作根本找不到对应的资源，自然会报错。

2. 关于s3:GetObject和s3:DeleteObject：
   这两个操作是针对桶内的具体对象的，对应的资源ARN必须包含对象路径后缀，也就是arn:aws:s3:::your-bucket-name/*。如果只写桶的ARN（arn:aws:s3:::my-bucket），这两个操作无法匹配到具体对象，同样会触发那个错误。

正确的策略配置示例 #

你需要把不同类型的操作拆分到独立的Statement中，分别匹配对应的资源类型：

{
    "Version": "2012-10-17",
    "Statement": [
        // 针对桶本身的操作
        {
            "Effect": "Allow",
            "Action": "s3:CreateBucket",
            "Resource": "arn:aws:s3:::your-target-bucket"
        },
        // 针对桶内对象的操作
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::your-target-bucket/*"
        }
    ]
}

实用排查技巧 #

• 不确定操作对应的资源格式？可以直接查AWS官方的S3 IAM操作参考文档，每个操作都会明确标注支持的资源类型。
• 用AWS的IAM策略模拟器测试你的配置，它会直观地指出哪个操作和资源不匹配，帮你快速定位问题。

内容的提问来源于stack exchange，提问作者Jason 'Slingshot' Miller