如何为ADFS+SAML+STS联合用户配置Amazon S3 Bucket权限？

我来帮你搞定这个ADFS联合身份访问S3的权限问题——你当前直接指定federated-user的ARN作为Principal的方式，其实踩了联合身份权限配置的常见误区，下面给你一步步梳理原因和正确做法：

首先得明确：通过ADFS+SAML+STS过来的联合用户，本质是扮演IAM角色获取临时凭证的，你写的arn:aws:sts:accountid:federated-user/someuser只是临时会话的用户标识，它是动态变化的，而且IAM的权限模型里，不能直接把这个临时用户ARN作为Principal来授权——联合身份的权限是通过「IAM角色的信任策略」+「角色的权限策略」来实现的，不是直接绑定临时用户。

1. 先把IAM角色的信任策略配置对 #

你得确保在IAM里创建的ADFS SAML身份提供商（IdP）已经和目标角色关联，角色的信任策略要允许这个IdP的用户来扮演它。信任策略大概长这样：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::你的账号ID:saml-provider/你的ADFS提供商名称"
      },
      "Action": "sts:AssumeRoleWithSAML",
      "Condition": {
        "StringEquals": {
          "SAML:aud": "https://signin.aws.amazon.com/saml"
        }
      }
    }
  ]
}

这里的Federated值必须是你在IAM中创建的ADFS SAML提供商的ARN，这一步是让ADFS用户能通过SAML断言拿到这个角色的临时凭证的前提。

2. 给IAM角色附加S3权限策略 #

不要在S3桶策略里指定临时用户，而是直接把S3访问权限附加到IAM角色上（或者创建一个权限策略再关联到角色）。比如你需要的权限策略可以这么写：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket", // 列桶内容的权限
        "s3:GetObject"   // 获取桶内对象的权限
        // 按需添加其他操作，比如s3:PutObject等
      ],
      "Resource": [
        "arn:aws:s3:::mybucket",          // 桶本身的权限（对应ListBucket）
        "arn:aws:s3:::mybucket/*"         // 桶内所有对象的权限（对应GetObject等）
      ]
    }
  ]
}

⚠️ 注意：如果用户需要访问桶内的具体文件，Resource必须包含arn:aws:s3:::mybucket/*，只写桶的ARN只能做桶级操作（比如列桶）。

3. 检查ADFS的SAML断言属性映射 #

ADFS那边得正确配置声明规则，把用户信息映射到AWS需要的SAML属性上：

• 必须映射https://aws.amazon.com/SAML/Attributes/Role属性，值是「IAM角色ARN,SAML提供商ARN」（比如arn:aws:iam::你的账号ID:role/你的角色名,arn:aws:iam::你的账号ID:saml-provider/你的ADFS提供商名称，逗号分隔）
• 还要映射https://aws.amazon.com/SAML/Attributes/RoleSessionName，可以用用户的AD用户名或邮箱，作为临时会话的标识。

4. 测试验证 #

用户通过ADFS登录拿到临时凭证后，可以用AWS CLI测试：

# 查看当前身份，确认是否正确扮演了目标角色
aws sts get-caller-identity

# 测试S3访问
aws s3 ls s3://mybucket

如果还是不行，先确认get-caller-identity返回的是目标角色的ARN，再检查角色的权限策略是否包含了所需的S3操作。

• 不要在S3桶策略里直接写federated-user的ARN：临时会话的用户标识是动态的，而且角色才是权限的载体。如果一定要用桶策略，Principal应该写IAM角色的ARN，但更推荐给角色加权限策略，管理起来更方便。
• 别忽略S3对象级的Resource：只写桶的ARN只能做桶操作，访问文件必须加/*。
• 检查桶的ACL：如果桶的ACL设置了过于严格的权限，可能会覆盖IAM的权限，确保ACL不会阻止角色访问。

内容的提问来源于stack exchange，提问作者Zak