Amazon S3 中的策略和权限

本页概述 Amazon S3 中的存储桶和用户策略，并介绍 AWS Identity and Access Management（IAM）策略的基本元素。每个列出的元素都链接到有关该元素以及如何使用它的示例的更多详细信息。

有关 Amazon S3 操作、资源和条件的完整列表，请参阅《Service Authorization Reference》中的 Actions, resources, and condition keys for Amazon S3。

有关按 S3 资源类型对 S3 API 操作的权限的更多信息，请参阅 Amazon S3 API 操作所需的权限。

就其最基本的意义而言，策略包含以下元素：

下面的示例存储桶策略显示了 Effect、Principal、Action 和 Resource 元素。此策略可让账户 123456789012 中的用户 Akua 对 amzn-s3-demo-bucket1 存储桶具有 s3:GetObject、s3:GetBucketLocation 和 s3:ListBucket Amazon S3 权限。

{
    "Version": "2012-10-17",
    "Id": "ExamplePolicy01",
    "Statement": [
        {
            "Sid": "ExampleStatement01",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/Akua"
            },
            "Action": [
                "s3:GetObject",
                "s3:GetBucketLocation",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket1/*",
                "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
        }
    ]
}

有关完整的策略语言信息，请参阅《IAM 用户指南》中的 IAM 中的策略和权限和 IAM JSON 策略参考。

授予权限

如果某 AWS 账户拥有一项资源，它可以将这些权限授予其他 AWS 账户。然后这个账户就可以将这些权限或其子集委托给该账户中的用户。这称为 权限委托。但从另一账户接收权限的账户不能向其它 AWS 账户跨账户委托权限。

Amazon S3 存储桶和对象所有权

存储桶和对象是 Amazon S3 资源。默认情况下，只有资源所有者可以访问这些资源。资源拥有者是指创建资源的 AWS 账户。例如：

所有权和请求身份验证

存储桶的所有请求已经过身份验证或未经过身份验证。经过身份验证的请求必须包含可验证请求发送者的签名值，而未经身份验证的请求则不然。有关请求身份验证的更多信息，请参阅《Amazon S3 API 参考》中的 Making requests。

存储桶拥有者可以允许未经身份验证的请求。例如，当存储桶具有公有存储桶策略，或存储桶 ACL 特别向 All Users 组或匿名用户授予 WRITE 或 FULL_CONTROL 访问权限时，允许未经身份验证的 PutObject 请求。有关公有存储桶策略和公有访问控制列表（ACL）的更多信息，请参阅 “公有”的含义。

所有未经身份验证的请求均由匿名用户发起。此用户在 ACL 中由特定的规范用户 ID 65a011a29cdf8ec533ec3d1ccaae921c 表示。如果对象是通过未经身份验证的请求上传到存储桶的，匿名用户拥有对象。默认对象 ACL 向作为对象拥有者的匿名用户授予 FULL_CONTROL。因此，Amazon S3 允许未经身份验证的请求检索该对象或修改其 ACL。

为防止匿名用户修改对象，建议您不要实施允许对存储桶进行匿名公有写入的存储桶策略，或不要使用允许存储桶的匿名用户写入权限的 ACL。您可以使用 Amazon S3 屏蔽公共访问权限强制实施这个建议行为。

有关屏蔽公共访问权限的更多信息，请参阅阻止对您的 Amazon S3 存储的公有访问。有关 ACL 的更多信息，请参阅 访问控制列表 (ACL) 概述。