Amazon S3 API 操作所需的权限
注意
本页面介绍面向通用存储桶的 Amazon S3 策略操作。要了解有关面向目录存储桶的 Amazon S3 策略操作的更多信息，请参阅适用于 S3 Express One Zone 的操作。
要执行 S3 API 操作，必须拥有正确的权限。此页面将 S3 API 操作映射到所需的权限。要授予执行 S3 API 操作的权限，您必须撰写有效的策略（例如 S3 存储桶策略或基于 IAM 身份的策略），并在策略的 Action 元素中指定相应的操作。这些操作称为策略操作。并非每个 S3 API 操作都由单个权限（单个策略操作）表示，许多不同的 API 操作需要某些权限（某些策略操作）。
在撰写策略时，必须根据相应的 Amazon S3 策略操作所需的正确资源类型来指定 Resource 元素。此页面按资源类型对 S3 API 操作权限进行了分类。有关资源类型的更多信息，请参阅《Service Authorization Reference》中 Resource types defined by Amazon S3。有关策略中使用的 Amazon S3 策略操作、资源和条件键的完整列表，请参阅《Service Authorization Reference》中的 Actions, resources, and condition keys for Amazon S3。有关 Amazon S3 API 操作的完整列表，请参阅《Amazon Simple Storage Service API Reference》中的 Amazon S3 API Actions。
主题
存储桶操作和权限
存储桶操作是在存储桶资源类型上执行的 S3 API 操作。您必须在存储桶策略或基于 IAM 身份的策略中为存储桶操作指定 S3 策略操作。
在策略中，Resource 元素必须为存储桶 Amazon 资源名称（ARN）。有关 Resource 元素格式和示例策略的更多信息，请参阅存储桶操作。
注意
要在接入点策略中授予对存储桶操作的权限，请注意以下几点：
-
在接入点策略中对于存储桶操作授予的权限，仅在底层存储桶支持相同的权限时才有效。使用接入点时，必须将访问控制权从存储桶委托给接入点，或者将接入点策略中的相同权限添加到底层存储桶的策略中。
-
在授予对存储桶操作的权限的接入点策略中，
Resource元素必须是accesspointARN。有关Resource元素格式和示例策略的更多信息，请参阅接入点策略中的存储桶操作。有关接入点策略的更多信息，请参阅配置使用接入点的 IAM 策略。 并非所有存储桶操作都受接入点支持。有关更多信息，请参阅 接入点与 S3 操作的兼容性。
以下是存储桶操作和所需策略操作的映射。
| API 操作 | 策略操作 | 策略操作的描述 |
|---|---|---|
|
（必需） |
创建新的 s3 存储桶所必需。 |
|
|
（有条件需要） |
如果要在发出 |
|
|
（有条件需要） |
如果要在创建存储桶时启用对象锁定，则必需。 |
|
|
（有条件需要） |
如果要在创建存储桶时指定 S3 对象所有权，则必需。 |
|
|
（必需） |
删除 S3 存储桶所必需。 |
|
|
（必需） |
从 S3 存储桶中删除 S3 分析配置所必需。 |
|
|
（必需） |
删除存储桶的跨源资源共享（CORS）配置所必需。 |
|
|
（必需） |
将 S3 存储桶的默认加密配置重置为具有 Amazon S3 托管式密钥的服务器端加密（SSE-S3）所必需。 |
|
|
（必需） |
从 S3 存储桶中删除现有 S3 Intelligent-Tiering 配置所必需。 |
|
|
（必需） |
从 S3 存储桶中删除 S3 清单配置所必需。 |
|
|
（必需） |
删除 S3 存储桶的 S3 生命周期配置所必需。 |
|
|
（必需） |
从 S3 存储桶中删除 Amazon CloudWatch 请求指标的指标配置所必需。 |
|
|
（必需） |
移除 S3 存储桶的“对象所有权”设置所必需。移除后，“对象所有权”设置变为 |
|
|
（必需） |
删除 S3 存储桶的策略所必需。 |
|
|
（必需） |
删除 S3 存储桶的复制配置所必需。 |
|
|
（必需） |
从 S3 存储桶中删除标签所必需。 |
|
|
（必需） |
移除 S3 存储桶的网站配置所必需。 |
|
|
DeletePublicAccessBlock（存储桶级） |
（必需） |
移除 S3 存储桶的屏蔽公共访问权限配置所必需。 |
|
（必需） |
使用加速子资源返回存储桶的 Amazon S3 Transfer Acceleration 状态（已启用或已暂停）所必需。 |
|
|
（必需） |
返回 S3 存储桶的访问控制列表（ACL）所必需。 |
|
|
（必需） |
返回 S3 存储桶中由分析配置 ID 标识的分析配置所必需。 |
|
|
（必需） |
返回 S3 存储桶的跨源资源共享（CORS）配置所必需。 |
|
|
（必需） |
返回 S3 存储桶的默认加密配置所必需。 |
|
|
（必需） |
获取 S3 存储桶的 S3 Intelligent-Tiering 配置所必需。 |
|
|
（必需） |
返回存储桶中由清单配置 ID 标识的清单配置所必需。 |
|
|
（必需） |
返回存储桶的 S3 生命周期配置所必需。 |
|
|
（必需） |
返回 S3 存储桶所在的 AWS 区域所必需。 |
|
|
（必需） |
返回 S3 存储桶的日志记录状态和用户具有的查看和修改该状态的权限所必需。 |
|
|
（必需） |
从存储桶中获取由指标配置 ID 指定的指标配置所必需。 |
|
|
（必需） |
返回 S3 存储桶的通知配置所必需。 |
|
|
（必需） |
检索 S3 存储桶的“对象所有权”设置所必需。 |
|
|
（必需） |
返回 S3 存储桶的策略所必需。 |
|
|
（必需） |
检索 S3 存储桶的策略状态（指示存储桶是否为公有）所必需。 |
|
|
（必需） |
返回 S3 存储桶的复制配置所必需。 |
|
|
（必需） |
返回 S3 存储桶的请求付款配置所必需。 |
|
|
（必需） |
返回 S3 存储桶的版本控制状态所必需。 |
|
|
（必需） |
返回与 S3 存储桶关联的标签集所必需。 |
|
|
（必需） |
返回 S3 存储桶的网站配置所必需。 |
|
|
（必需） |
获取 S3 存储桶的对象锁定配置所必需。 |
|
|
GetPublicAccessBlock（存储桶级） |
（必需） |
检索 S3 存储桶的屏蔽公共访问权限配置所必需。 |
|
（必需） |
确定存储桶是否存在以及您是否有权访问该存储桶所必需。 |
|
|
（必需） |
列出 S3 存储桶的分析配置所必需。 |
|
|
（必需） |
列出 S3 存储桶的 S3 Intelligent-Tiering 配置所必需。 |
|
|
（必需） |
返回 S3 存储桶的清单配置列表所必需。 |
|
|
（必需） |
列出 S3 存储桶的指标配置所必需。 |
|
|
（必需） |
列出 S3 存储桶中的部分或全部（最多 1000 个）对象所必需。 |
|
|
（有条件需要） |
如果您要显示对象所有者信息，则必需。 |
|
|
（必需） |
列出 S3 存储桶中的部分或全部（最多 1000 个）对象所必需。 |
|
|
（有条件需要） |
如果您要显示对象所有者信息，则必需。 |
|
|
（必需） |
获取有关 S3 存储桶中所有对象版本的元数据所必需。 |
|
|
（必需） |
设置现有存储桶的加速配置所必需。 |
|
|
（必需） |
使用访问控制列表（ACL）设置对现有存储桶的权限所必需。 |
|
|
（必需） |
设置 S3 存储桶的分析配置所必需。 |
|
|
（必需） |
设置 S3 存储桶的跨源资源共享（CORS）配置所必需。 |
|
|
（必需） |
配置 S3 存储桶的默认加密所必需。 |
|
|
（必需） |
将 S3 Intelligent-Tiering 配置放置到 S3 存储桶所必需。 |
|
|
（必需） |
将清单配置添加到 S3 存储桶所必需。 |
|
|
（必需） |
为 S3 存储桶创建新的 S3 生命周期配置或替换现有生命周期配置所必需。 |
|
|
（必需） |
为 S3 存储桶设置日志记录参数并指定谁可以查看和修改日志记录参数的权限所必需。 |
|
|
（必需） |
设置或更新 S3 存储桶的 Amazon CloudWatch 请求指标的指标配置所必需。 |
|
|
（必需） |
为 S3 存储桶启用指定事件的通知所必需。 |
|
|
（必需） |
创建或修改 S3 存储桶的“对象所有权”设置所必需。 |
|
|
（必需） |
将 S3 存储桶策略应用于存储桶所必需。 |
|
|
（必需） |
为 S3 存储桶创建新的复制配置或替换现有的复制配置所必需。 |
|
|
（必需） |
设置存储桶的请求付款配置所必需。 |
|
|
（必需） |
将一组标签添加到 S3 存储桶所必需。 |
|
|
（必需） |
设置 S3 存储桶的版本控制状态所必需。 |
|
|
（必需） |
将存储桶配置为网站并设置网站的配置所必需。 |
|
|
（必需） |
在 S3 存储桶上放置对象锁定配置所必需。 |
|
|
PutPublicAccessBlock（存储桶级） |
（必需） |
创建或修改 S3 存储桶的屏蔽公共访问权限配置所必需。 |
对象操作和权限
对象操作是对于对象资源类型运行的 S3 API 操作。您必须在基于资源的策略（例如存储桶策略、接入点策略、多区域接入点策略、VPC 端点策略）或基于 IAM 身份的策略中为对象操作指定 S3 策略操作。
在策略中，Resource 元素必须是对象 ARN。有关 Resource 元素格式和示例策略的更多信息，请参阅对象操作。
注意
AWS KMS 策略操作（
kms:GenerateDataKey和kms:Decrypt）仅适用于 AWS KMS 资源类型，并且必须在基于 IAM 身份的策略和基于 AWS KMS 资源的策略（AWS KMS 密钥策略）中指定。您无法在基于 S3 资源的策略（例如 S3 存储桶策略）中指定 AWS KMS 策略操作。-
使用接入点控制对于对象操作的访问权限时，可以使用接入点策略。要在接入点策略中授予对于对象操作的权限，请注意以下几点：
-
在授予对于对象操作的权限的接入点策略中，
Resource元素必须是通过接入点访问的对象的 ARN。有关Resource元素格式和示例策略的更多信息，请参阅接入点策略中的对象操作。 并非所有对象操作都受接入点支持。有关更多信息，请参阅 接入点与 S3 操作的兼容性。
-
并非所有对象操作都受多区域接入点支持。有关更多信息，请参阅 多区域接入点与 S3 操作的兼容性。
以下是对象操作和所需策略操作的映射。
| API 操作 | 策略操作 | 策略操作的描述 |
|---|---|---|
|
（必需） |
中止分段上传所必需。 |
|
|
（必需） |
完成分段上传所必需。 |
|
|
（有条件需要） |
如果要为 AWS KMS 客户自主管理型密钥加密的对象完成分段上传，则必需。 |
|
|
对于源对象： |
对于源对象： |
|
|
（必需） |
|
|
|
（有条件需要） |
如果要从源存储桶复制 AWS KMS 客户自主管理型密钥加密的对象，则必需。 |
|
|
对于目标对象： |
对于目标对象： |
|
|
（必需） |
将复制的对象放置到目标存储桶中所必需。 |
|
|
（有条件需要） |
如果要在发出 |
|
|
（有条件需要） |
如果要在发出 |
|
|
（有条件需要） |
如果要使用 AWS KMS 客户自主管理型密钥来加密复制的对象并将其放置到目标存储桶，则必需。 |
|
|
（有条件需要） |
如果要为新对象设置对象锁定保留配置，则必需。 |
|
|
（有条件需要） |
如果要对新对象实施对象锁定法定保留，则必需。 |
|
|
（必需） |
创建分段上传所必需。 |
|
|
（有条件需要） |
如果要为上传的对象设置对象访问控制列表（ACL）权限，则必需。 |
|
|
（有条件需要） |
如果要向上传的对象添加对象标记，则必需。 |
|
|
（有条件需要） |
如果要在启动分段上传时使用 AWS KMS 客户自主管理型密钥来加密对象，则必需。 |
|
|
（有条件需要） |
如果要为上传的对象设置对象锁定保留配置，则必需。 |
|
|
（有条件需要） |
如果要对上传的对象应用对象锁定法定保留，则必需。 |
|
|
（必需） |
|
|
|
（有条件需要） |
如果要删除受监管模式保护来进行对象锁定保留的对象，则必需。 |
|
|
（必需） |
|
|
|
（有条件需要） |
如果要删除受监管模式保护来进行对象锁定保留的对象，则必需。 |
|
|
（必需） |
|
|
|
（必需） |
|
|
|
（有条件需要） |
如果要获取和解密 AWS KMS 客户自主管理型密钥加密的对象，则必需。 |
|
|
（有条件需要） |
如果要在发出 |
|
|
（有条件需要） |
如果要获取对象的当前对象锁定法定保留状态，则必需。 |
|
|
（有条件需要） |
如果要检索对象的对象锁定保留设置，则必需。 |
|
|
（必需） |
|
|
|
（必需） |
|
|
|
（有条件需要） |
如果要检索与 AWS KMS 客户自主管理型密钥加密的对象相关的属性，则必需。 |
|
|
（必需） |
获取对象的当前对象锁定法定保留状态所必需。 |
|
|
（必需） |
检索对象的对象锁定保留设置所必需。 |
|
|
（必需） |
|
|
|
（必需） |
返回对象的 torrent 文件所必需。 |
|
|
（必需） |
从对象检索元数据而不返回对象本身所必需。 |
|
|
（有条件需要） |
如果要获取对象的当前对象锁定法定保留状态，则必需。 |
|
|
（有条件需要） |
如果要检索对象的对象锁定保留设置，则必需。 |
|
|
（必需） |
列出存储桶中正在进行的分段上传所必需。 |
|
|
（必需） |
列出为特定分段上传已上传的分段所必需。 |
|
|
（有条件需要） |
如果要列出 AWS KMS 客户自主管理型密钥加密的分段上传的各个分段，则必需。 |
|
|
（必需） |
放置对象所必需。 |
|
|
（有条件需要） |
如果要在发出 |
|
|
（有条件需要） |
如果要在发出 |
|
|
（有条件需要） |
如果要使用 AWS KMS 客户自主管理型密钥来加密对象，则必需。 |
|
|
（有条件需要） |
如果要在对象上设置对象锁定保留配置，则必需。 |
|
|
（有条件需要） |
如果要将对象锁定法定保留配置应用于指定的对象，则必需。 |
|
|
（必需） |
|
|
|
（必需） |
将对象锁定法定保留配置应用于对象所必需。 |
|
|
（必需） |
将对象锁定保留配置应用于对象所必需。 |
|
|
（有条件需要） |
如果要绕过对象锁定保留配置的监管模式，则必需。 |
|
|
（必需） |
|
|
|
（必需） |
还原归档对象的副本所必需。 |
|
|
（必需） |
基于简单结构化查询语言（SQL）语句筛选 S3 对象的内容所必需。 |
|
|
（有条件需要） |
如果要筛选使用 AWS KMS 客户自主管理型密钥加密的 S3 对象的内容，则必需。 |
|
|
（必需） |
在分段上传中上传某个分段所必需。 |
|
|
（有条件需要） |
如果要放置某个上传分段并使用 AWS KMS 客户自主管理型密钥对其进行加密，则必需。 |
|
|
对于源对象： |
对于源对象： |
|
|
（必需） |
|
|
|
（有条件需要） |
如果要从源存储桶复制 AWS KMS 客户自主管理型密钥加密的对象，则必需。 |
|
|
对于目标分段： |
对于目标分段： |
|
|
（必需） |
将分段上传的某个分段上传到目标存储桶所必需。 |
|
|
（有条件需要） |
如果要在将某个分段上传到目标存储桶时使用 AWS KMS 客户自主管理型密钥加密该分段，则必需。 |
接入点操作和权限
接入点操作是在 accesspoint 资源类型上执行的 S3 API 操作。必须在基于 IAM 身份的策略中为接入点操作指定 S3 策略操作，而不是在存储桶策略或接入点策略中指定它们。
在策略中，Resource 元素必须是 accesspoint ARN。有关 Resource 元素格式和示例策略的更多信息，请参阅接入点操作。
注意
如果要使用接入点来控制对存储桶或对象操作的访问权限，请注意以下几点：
-
有关使用接入点控制对存储桶操作的访问权限的信息，请参阅接入点策略中的存储桶操作。
-
有关使用接入点控制对于对象操作的访问权限的信息，请参阅接入点策略中的对象操作。
有关如何配置接入点策略的更多信息，请参阅配置使用接入点的 IAM 策略。
以下是接入点操作和所需策略操作的映射。
| API 操作 | 策略操作 | 策略操作的描述 |
|---|---|---|
|
（必需） |
创建与 S3 存储桶关联的接入点所必需。 |
|
|
（必需） |
删除接入点所必需。 |
|
|
（必需） |
删除接入点策略所必需。 |
|
|
（必需） |
检索接入点策略所必需。 |
|
|
（必需） |
检索有关指定的接入点当前是否具有相关策略（即支持公共访问权限）的信息所必需。 |
|
|
（必需） |
放置接入点策略所必需。 |
对象 Lambda 接入点操作和权限
对象 Lambda 接入点操作是在 objectlambdaaccesspoint 资源类型上运行的 S3 API 操作。有关如何为对象 Lambda 接入点操作配置策略的更多信息，请参阅为对象 Lambda 接入点配置 IAM 策略。
以下是对象 Lambda 接入点操作和所需策略操作的映射。
| API 操作 | 策略操作 | 策略操作的描述 |
|---|---|---|
|
（必需） |
创建对象 Lambda 接入点所必需。 |
|
|
（必需） |
删除指定的对象 Lambda 接入点所必需。 |
|
|
（必需） |
删除指定的对象 Lambda 接入点上的策略所必需。 |
|
|
（必需） |
检索对象 Lambda 接入点的配置所必需。 |
|
|
（必需） |
检索有关对象 Lambda 接入点的信息所必需。 |
|
|
（必需） |
返回与指定对象 Lambda 接入点关联的接入点策略所必需。 |
|
|
（必需） |
返回特定对象 Lambda 接入点策略的策略状态所必需。 |
|
|
（必需） |
设置对象 Lambda 接入点的配置所必需。 |
|
|
（必需） |
将访问策略与指定的对象 Lambda 接入点相关联所必需。 |
多区域接入点操作和权限
多区域接入点操作是在 multiregionaccesspoint 资源类型上运行的 S3 API 操作。有关如何为多区域接入点操作配置策略的更多信息，请参阅多区域接入点策略示例。
以下是多区域接入点操作和所需策略操作的映射。
| API 操作 | 策略操作 | 策略操作的描述 |
|---|---|---|
|
（必需） |
创建多区域接入点并将其与 S3 存储桶关联所必需。 |
|
|
（必需） |
删除多区域接入点所必需。 |
|
|
（必需） |
检索管理多区域接入点的异步请求的状态所必需。 |
|
|
（必需） |
返回有关指定多区域接入点的配置信息所必需。 |
|
|
（必需） |
返回指定多区域接入点的访问控制策略所必需。 |
|
|
（必需） |
返回特定多区域接入点的策略状态，以了解指定的多区域接入点是否具有支持公共访问权限的访问控制策略所必需。 |
|
|
（必需） |
返回多区域接入点的路由配置所必需。 |
|
|
（必需） |
更新指定多区域接入点的访问控制策略所必需。 |
|
|
（必需） |
提交多区域接入点的已更新路由配置所必需。 |
批量任务操作和权限
（批量操作）任务操作是在 job 资源类型上运行的 S3 API 操作。必须在基于 IAM 身份的策略中为任务操作指定 S3 策略操作，而不是在存储桶策略中指定它们。
在策略中，Resource 元素必须是 job ARN。有关 Resource 元素格式和示例策略的更多信息，请参阅批处理作业操作。
以下是批量任务操作和所需策略操作的映射。
| API 操作 | 策略操作 | 策略操作的描述 |
|---|---|---|
|
（必需） |
从现有 S3 批量操作任务中移除标签所必需。 |
|
|
（必需） |
检索批量操作任务的配置参数和状态所必需。 |
|
|
（必需） |
返回现有 S3 批量操作任务的标签集所必需。 |
|
|
（必需） |
在现有 S3 批量操作任务上放置或替换标签所必需。 |
|
|
（必需） |
更新现有任务的优先级所必需。 |
|
|
（必需） |
更新指定任务的状态所必需。 |
S3 Storage Lens 存储分析功能配置操作和权限
S3 Storage Lens 存储分析功能配置操作是在 storagelensconfiguration 资源类型上运行的 S3 API 操作。有关如何配置 S3 Storage Lens 存储分析功能配置操作的更多信息，请参阅设置 Amazon S3 Storage Lens 存储统计管理工具权限。
以下是 S3 Storage Lens 存储分析功能配置操作和所需策略操作的映射。
| API 操作 | 策略操作 | 策略操作的描述 |
|---|---|---|
|
（必需） |
删除 S3 Storage Lens 存储分析功能配置所必需。 |
|
|
（必需） |
删除 S3 Storage Lens 存储分析功能配置标签所必需。 |
|
|
（必需） |
获取 S3 Storage Lens 存储分析功能配置所必需。 |
|
|
（必需） |
获取 S3 Storage Lens 存储分析功能配置的标签所必需。 |
|
|
（必需） |
在现有 S3 Storage Lens 存储分析功能配置上放置或替换标签所必需。 |
S3 Storage Lens 组操作和权限
S3 Storage Lens 组操作是在 storagelensgroup 资源类型上运行的 S3 API 操作。有关如何配置 S3 Storage Lens 组权限的更多信息，请参阅 Storage Lens 组权限。
以下是 S3 Storage Lens 组操作和所需策略操作的映射。
| API 操作 | 策略操作 | 策略操作的描述 |
|---|---|---|
|
（必需） |
删除现有 S3 Storage Lens 组所必需。 |
|
|
（必需） |
检索 S3 Storage Lens 组配置详细信息所必需。 |
|
|
（必需） |
更新现有 S3 Storage Lens 组所必需。 |
账户操作和权限
账户操作是在账户级别执行的 S3 API 操作。账户不是 Amazon S3 定义的资源类型。必须在基于 IAM 身份的策略中为账户操作指定 S3 策略操作，而不是在存储桶策略中指定它们。
在策略中，Resource 元素必须是 "*"。有关示例策略的更多信息，请参阅账户操作。
以下是账户操作和所需策略操作的映射。
| API 操作 | 策略操作 | 策略操作的描述 |
|---|---|---|
|
（必需） |
创建新的 S3 批量操作任务所必需。 |
|
|
（必需） |
创建新的 S3 Storage Lens 组并将其与指定的 AWS 账户 ID 关联所必需。 |
|
|
（有条件需要） |
如果要创建带有 AWS 资源标签的 S3 Storage Lens 组，则必需。 |
|
|
（必需） |
从 AWS 账户中移除屏蔽公共访问权限配置所必需。 |
|
|
（必需） |
检索有关指定接入点的配置信息所必需。 |
|
|
GetAccessPointPolicy（账户级） |
（必需） |
检索 AWS 账户的屏蔽公共访问权限配置所必需。 |
|
（必需） |
列出 S3 存储桶的由 AWS 账户拥有的接入点所必需。 |
|
|
（必需） |
列出对象 Lambda 接入点所必需。 |
|
|
（必需） |
返回经过身份验证的请求发送人所拥有的所有存储桶的列表所必需。 |
|
|
（必需） |
列出当前任务和最近结束的任务所必需。 |
|
|
（必需） |
返回当前与指定 AWS 账户关联的多区域接入点的列表所必需。 |
|
|
（必需） |
获取 AWS 账户的 S3 Storage Lens 存储分析功能配置列表所必需。 |
|
|
（必需） |
列出指定主 AWS 区域中的所有 S3 Storage Lens 组所必需。 |
|
|
PutPublicAccessBlock（账户级） |
（必需） |
创建或修改 AWS 账户的屏蔽公共访问权限配置所必需。 |
|
（必需） |
放置 S3 Storage Lens 存储分析功能配置所必需。 |
