访问控制列表 (ACL) 概述

Amazon S3 访问控制列表（ACL）使您可以管理存储桶和对象的访问权限。每个存储桶和对象都有一个作为子资源而附加的 ACL。它定义了哪些 AWS 账户或组将被授予访问权限以及访问的类型。收到针对某个资源的请求后，Amazon S3 将检查相应的 ACL 以验证请求者是否拥有所需的访问权限。

S3 对象所有权是 Amazon S3 存储桶级别的设置，您可以使用该设置来控制上传到存储桶的对象的所有权和禁用或启用 ACL。默认情况下，对象所有权设为强制存储桶拥有者设置，并且所有 ACL 均处于禁用状态。禁用 ACL 后，存储桶拥有者拥有存储桶中的所有对象，并使用访问管理策略来专门管理对这些对象的访问权限。

Amazon S3 中的大多数现代使用案例不再需要使用 ACL。我们建议您将 ACL 保持为禁用状态，除非有需要单独控制每个对象的访问权限的特殊情况。禁用 ACL 后，您可以使用策略来控制对存储桶中所有对象的访问权限，无论是谁将对象上传到您的存储桶。有关更多信息，请参阅 为您的存储桶控制对象所有权和禁用 ACL。。

创建存储桶或对象时，Amazon S3 将创建一个默认 ACL 以授予资源拥有者对资源的完全控制权限。这显示在下面的示例存储桶 ACL 中（默认对象 ACL 具有相同的结构）：

<?xml version="1.0" encoding="UTF-8"?>
<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Owner>
    <ID>*** Owner-Canonical-User-ID ***</ID>
    <DisplayName>owner-display-name</DisplayName>
  </Owner>
  <AccessControlList>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
               xsi:type="Canonical User">
        <ID>*** Owner-Canonical-User-ID ***</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>FULL_CONTROL</Permission>
    </Grant>
  </AccessControlList>
</AccessControlPolicy> 

示例 ACL 包含一个可通过 AWS 账户的规范用户 ID 识别拥有者的 Owner 元素。有关查找规范用户 ID 的说明，请参阅查找 AWS 账户规范用户 ID。Grant 元素将识别被授权者（AWS 账户或预定义的组）和所授予的权限。此默认的 ACL 拥有一个适用于所有者的 Grant 元素。您可以通过添加 Grant 元素授予权限，每个授权都将识别被授权者和权限。

谁是被授权者？

被授权者可以是 AWS 账户或某个预定义的 Amazon S3 组。您可以使用电子邮件地址或规范用户 ID 向 AWS 账户授予权限。但是，如果您在授权请求中提供电子邮件地址，Amazon S3 将为该账户查找规范用户 ID 并将它添加到 ACL。生成的 ACL 始终包含 AWS 账户的规范用户 ID，而不是 AWS 账户的电子邮件地址。

授予访问权限时，可以将每个被授权者指定为一个 type="value" 对，其中 type 为以下值之一：

x-amz-grant-read: emailAddress="xyz@example.com", emailAddress="abc@example.com"

查找 AWS 账户规范用户 ID

规范用户 ID 与您的 AWS 账户关联。此 ID 是一个长串字符，例如：

79a59df900b949e55d96a1e698fbacedfd6e09d98eacf8f8d5218e7cd47ef2be

有关如何查找您账户的规范用户 ID 的信息，请参阅《AWS 账户管理参考指南》中的 Find the canonical user ID for your AWS 账户。

您也可以通过读取 AWS 账户 有权访问的存储桶或对象的 ACL，查找 AWS 账户 的规范用户 ID。如果某个 AWS 账户通过授权请求被授予了许可，ACL 中将新增一个授权条目和账户的规范用户 ID。

Amazon S3 预定义的组

Amazon S3 拥有一系列预定义的组。将账户访问权限授予某个组时，您可以指定我们的一个 Amazon S3 URI，而不是规范用户 ID。Amazon S3 提供以下预定义组：

我能授予哪些许可？

下表列出了 Amazon S3 在 ACL 中支持的权限集。对于对象 ACL 和存储桶 ACL，ACL 权限集相同。但是，根据上下文（存储桶 ACL 或对象 ACL），这些 ACL 权限将授予针对特定存储桶或对象操作的权限。下表列出了权限并描述这些权限在对象和存储桶上下文中的意义。

有关使用 Amazon S3 控制台 ACL 权限的更多信息，请参阅 配置 ACL。

ACL 权限和访问策略权限的映射

如先前表中所示，相比于在访问策略中可设置的权限数目（请参阅Amazon S3 的策略操作），ACL 仅允许授予有限数量的权限。其中的每个权限允许一个或多个 Amazon S3 操作。

下表显示每个 ACL 权限如何映射到相应的访问策略权限。正如您所见，与 ACL 相比，访问策略允许的权限更多。您可以将 ACL 主要用于授予基本的读/写权限（类似于文件系统权限）。有关何时使用 ACL 的更多信息，请参阅 Amazon S3 的身份和访问管理。

有关使用 Amazon S3 控制台 ACL 权限的更多信息，请参阅 配置 ACL。

条件键

授予访问策略权限时，您可以使用条件键通过存储桶策略对某个对象限制 ACL 的值。以下上下文键对应于 ACL。您可以使用这些上下文键强制在请求中使用特定 ACL：

有关涉及 ACL 特定标头的策略示例，请参阅授予 s3:PutObject 权限，指定了要求存储桶拥有者获得完全控制的条件。有关 Amazon S3 特定条件键的完整列表，请参阅《Service Authorization Reference》中的 Actions, resources, and condition keys for Amazon S3。

有关按 S3 资源类型对 S3 API 操作的权限的更多信息，请参阅 Amazon S3 API 操作所需的权限。

常见 Amazon S3 请求的 aclRequired 值

要识别需要 ACL 进行授权的 Amazon S3 请求，您可以使用 Amazon S3 服务器访问日志或 AWS CloudTrail 中的 aclRequired 值。CloudTrail 或 Amazon S3 服务器访问日志中显示的 aclRequired 值取决于调用了哪些操作以及有关请求者、对象拥有者和存储桶拥有者的某些信息。如果不需要 ACL，或者您正在设置 bucket-owner-full-control 标准 ACL，或者如果您的存储桶策略允许请求，则 Amazon S3 服务器访问日志中的 aclRequired 值字符串为“-”，但 CloudTrail 中不存在该值字符串。

下表列出了 CloudTrail 或 Amazon S3 服务器访问日志中各种 Amazon S3 API 操作的预期 aclRequired 值。您可以使用此信息来了解哪些 Amazon S3 操作依赖于 ACL 进行授权。在下表中，A、B 和 C 代表与请求者、对象拥有者和存储桶拥有者关联的不同账户。带有星号（*）的条目表示账户 A、B 或 C 中的任意一个。

下表显示 CloudTrail 的 aclRequired 值。

下表显示 Amazon S3 服务器访问日志的 aclRequired 值。

示例 ACL

下面的存储桶上的示例 ACL 可识别资源所有者和一系列的授权。格式是指 Amazon S3 REST API 中的 ACL 的 XML 表示形式。存储桶拥有者拥有资源的 FULL_CONTROL。此外，ACL 还演示了如何将对于某个资源的权限授予两个 AWS 账户（由规范用户 ID 标识）以及上一节讨论的两个预定义 Amazon S3 组。

<?xml version="1.0" encoding="UTF-8"?>
<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Owner>
    <ID>Owner-canonical-user-ID</ID>
    <DisplayName>display-name</DisplayName>
  </Owner>
  <AccessControlList>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>Owner-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>FULL_CONTROL</Permission>
    </Grant>
    
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>user1-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>WRITE</Permission>
    </Grant>

    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>user2-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>READ</Permission>
    </Grant>

    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Group">
        <URI>http://acs.amazonaws.com/groups/global/AllUsers</URI> 
      </Grantee>
      <Permission>READ</Permission>
    </Grant>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Group">
        <URI>http://acs.amazonaws.com/groups/s3/LogDelivery</URI>
      </Grantee>
      <Permission>WRITE</Permission>
    </Grant>

  </AccessControlList>
</AccessControlPolicy>

标准 ACL

Amazon S3 支持一系列预定义的授权，称为标准 ACL。每个标准 ACL 都有一组预定义的被授权者和许可。下表列出了一系列标准 ACL 和相关联的预定义授权。

您可以使用 x-amz-acl 请求标头在请求中指定标准 ACL。当 Amazon S3 收到包含标准 ACL 的请求时，它会向资源的 ACL 添加预定义的授权。