Бакет в S3 — ресурс, на котором само хранилище решает, пускать ли к объектам. Пока доступ держит только nginx или свой прокси, владелец действующего ключа может обойти его, указав другой --endpoint-url в aws-cli.
Прокси такой запрос не увидит, а хранилище вернёт 200, если права позволяют. Автор предлагает вернуть авторизацию в хранилище и отказаться от прокси как единственного барьера.