本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon S3 中的政策和許可

此頁面提供 Amazon S3 中儲存貯體和使用者政策的概觀，並說明 AWS Identity and Access Management （IAM） 政策的基本元素。您可透過以下每個所列元素的連結，取得該元素的詳細資訊以及使用範例。

如需 Amazon S3 動作、資源和條件的完整清單，請參閱服務授權參考 中的 Amazon S3 動作、資源和條件索引鍵。

如需 S3 資源類型對 S3 API操作的許可的詳細資訊，請參閱 Amazon S3 API操作的必要許可。

就其最基本意義而言，政策包含下列元素：

下列儲存貯體政策範例顯示 Effect、Principal、 Action和 Resource元素。此政策允許 Akua、帳戶 中的使用者123456789012、s3:GetBucketLocation、 s3:GetObject和 s3:ListBucketAmazon S3 對amzn-s3-demo-bucket1儲存貯體的許可。

{
    "Version": "2012-10-17",
    "Id": "ExamplePolicy01",
    "Statement": [
        {
            "Sid": "ExampleStatement01",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/Akua"
            },
            "Action": [
                "s3:GetObject",
                "s3:GetBucketLocation",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket1/*",
                "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
        }
    ]
}

如需完整的政策語言資訊，請參閱 IAM 使用者指南 中的政策和許可IAM以及IAMJSON政策參考。

許可委派

如果 AWS 帳戶 擁有資源，則可以將這些許可授予另一個 AWS 帳戶。該帳戶則可以將這些許可或其中的一些許可，委派給帳戶中的使用者。這稱為許可委派。但是，從另一個 帳戶接收許可的帳戶無法將許可跨帳戶委派給另一個 AWS 帳戶。

Amazon S3 儲存貯體和物件擁有權

儲存貯體與物件都是 Amazon S3 資源。依預設，只有資源擁有者可以存取這些資源。資源擁有者是指 AWS 帳戶 建立資源的 。例如：

擁有者和請求身分驗證

對儲存貯體的所有請求可能是已驗證或未驗證。已驗證的請求，必須包含能驗證要求傳送者身分的簽章值，未驗證的請求則沒有。如需請求身分驗證的詳細資訊，請參閱在 Amazon S3 API參考 中提出請求。

儲存貯體擁有者可以允許未驗證的請求。例如，未驗證的 PutObject 當儲存貯體具有公有儲存貯體政策，或儲存貯體特別ACL授予WRITE或FULL_CONTROL存取All Users群組或匿名使用者時，允許 請求。如需公有儲存貯體政策和公有存取控制清單 （ACLs） 的詳細資訊，請參閱 「公有」的意義。

所有未驗證的請求是由匿名使用者提出。此使用者在 中ACLs以特定正式使用者 ID 表示65a011a29cdf8ec533ec3d1ccaae921c。如果物件是透過未驗證的請求上傳至儲存貯體，則匿名使用者會擁有該物件。預設物件ACL會FULL_CONTROL授予匿名使用者作為物件的擁有者。因此，Amazon S3 允許未驗證的請求擷取物件或修改其 ACL。

為了防止匿名使用者修改物件，建議您不要實作允許匿名公開寫入儲存貯體的儲存貯體政策ACLs，或使用允許匿名使用者寫入存取儲存貯體的政策。您可以使用 Amazon S3 封鎖公開存取來強制此建議的行為。

如需封鎖公開存取的詳細資訊，請參閱 封鎖對 Amazon S3 儲存體的公開存取權。如需 的詳細資訊ACLs，請參閱 存取控制清單 （ACL） 概觀。