存取控制清單 (ACL) 概觀

Amazon S3 存取控制清單 (ACLs) 可讓您管理對儲存貯體和物件的存取。每個儲存貯體和物件都有一個作為子資源連接的 ACL。它定義授予存取權的 AWS 帳戶 或 群組，以及存取權的類型。收到針對資源的請求時，Amazon S3 會檢查對應的 ACL，以確認請求者具有必要的存取許可。

S3 物件擁有權是 Amazon S3 儲存貯體層級設定，可用來控制上傳到儲存貯體的物件擁有權，以及停用或啟用 ACLs。根據預設，物件擁有權設定為儲存貯體擁有者強制執行設定，且所有 ACLs 都會停用。停用 ACLs 時，儲存貯體擁有者會擁有儲存貯體中的所有物件，並僅使用存取管理政策來管理對這些物件的存取。

Amazon S3 中的大多數現代使用案例不再需要使用 ACLs。我們建議您停用 ACLs，除非在異常情況下，您需要個別控制每個物件的存取。在停用 ACLs 的情況下，您可以使用政策來控制對儲存貯體中所有物件的存取，無論物件上傳到儲存貯體的對象是誰。如需詳細資訊，請參閱控制物件的擁有權，並停用儲存貯體的 ACLs 。

當您建立儲存貯體或物件時，Amazon S3 會建立預設 ACL，授予資源擁有者對資源的完全控制權。這會顯示在下列範例儲存貯體 ACL 中 （預設物件 ACL 具有相同的結構）：

<?xml version="1.0" encoding="UTF-8"?>
<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Owner>
    <ID>*** Owner-Canonical-User-ID ***</ID>
    <DisplayName>owner-display-name</DisplayName>
  </Owner>
  <AccessControlList>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
               xsi:type="Canonical User">
        <ID>*** Owner-Canonical-User-ID ***</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>FULL_CONTROL</Permission>
    </Grant>
  </AccessControlList>
</AccessControlPolicy> 

範例 ACL 包含一個Owner元素，可依 AWS 帳戶的一般使用者 ID 識別擁有者。如需尋找您的正式使用者 ID 說明，請參閱 尋找 AWS 帳戶 正式使用者 ID。Grant 元素會識別承授者 ( AWS 帳戶 或預先定義的群組） 和授予的許可。此預設 ACL 有一個擁有者的Grant元素。您可以新增 Grant 元素來授予許可，每個授予都會識別被授予者與許可。

誰是被授予者？

承授者可以是 AWS 帳戶 或其中一個預先定義的 Amazon S3 群組。您可以使用 AWS 帳戶 電子郵件地址或正式使用者 ID 授予 許可。不過，如果您在授予請求中提供電子郵件地址，Amazon S3 會尋找該帳戶的正式使用者 ID，並將其新增至 ACL。產生的 ACLs 一律包含 的一般使用者 ID AWS 帳戶，而非 的電子郵件地址 AWS 帳戶。

當您授與存取權利時，您可以將每個授與者指定為 type="value" 組，其中 type 為下列其中一項：

x-amz-grant-read: emailAddress="xyz@example.com", emailAddress="abc@example.com"

尋找 AWS 帳戶 正式使用者 ID

正式使用者 ID 與您的 AWS 帳戶相關聯。此 ID 是一長串字元，例如：

79a59df900b949e55d96a1e698fbacedfd6e09d98eacf8f8d5218e7cd47ef2be

如需如何尋找帳戶正式使用者 ID 的詳細資訊，請參閱 AWS 帳戶管理參考指南中的尋找 正式使用者 ID AWS 帳戶。

您也可以 AWS 帳戶 透過讀取 儲存貯體的 ACL 或 AWS 帳戶 具有存取許可的物件來查詢 的一般使用者 ID。當授予請求 AWS 帳戶 授予個人許可時，授予項目會新增至具有帳戶正式使用者 ID 的 ACL。

Amazon S3 預先定義的群組

Amazon S3 有一組預先定義的群組。將帳戶存取權授予群組時，您可以指定其中一個 Amazon S3 URIs，而不是正式使用者 ID。Amazon S3 提供下列預先定義的群組：

我可以授予哪些許可？

下表列出 Amazon S3 在 ACL 中支援的一組許可。物件 ACL 和儲存貯體 ACL 的一組 ACL 許可相同。但是，根據內容 （儲存貯體 ACL 或物件 ACL)，這些 ACL 許可會授予特定儲存貯體或物件操作的許可。下表列出這些許可，並說明其在物件與儲存貯體內容中所代表的意義。

如需 Amazon S3 主控台中 ACL 許可的詳細資訊，請參閱 設定 ACLs。

ACL 許可和存取政策許可的映射

如上表所示，相較於您可以在存取政策中設定的許可數目，ACL 僅允許一組有限許可 （請參閱 Amazon S3 的政策動作)。其中每個許可都允許一或多個 Amazon S3 操作。

下表顯示每個 ACL 許可如何對應至對應的存取政策許可。如您所見，存取政策允許比 ACL 更多的許可。您主要使用 ACLs 來授予基本的讀取/寫入許可，類似於檔案系統許可。如需何時使用 ACL 的詳細資訊，請參閱 Amazon S3 的身分和存取管理。

如需 Amazon S3 主控台中 ACL 許可的詳細資訊，請參閱 設定 ACLs。

條件索引鍵

當您授予存取政策許可時，您可以使用條件索引鍵來限制使用儲存貯體政策之物件上的 ACL 值。下列內容索引鍵對應至 ACLs。您可以使用這些內容索引鍵來強制在請求中使用特定 ACL：

如需涉及 ACL 特定標頭的政策範例，請參閱 授予 s3：PutObject 許可，條件要求儲存貯體擁有者取得完全控制。如需 Amazon S3 特定條件金鑰的完整清單，請參閱服務授權參考中的 Amazon S3 的動作、資源和條件金鑰。

如需 S3 資源類型對 S3 API 操作的許可的詳細資訊，請參閱 Amazon S3 API 操作的必要許可。

常見 Amazon S3 請求的 aclRequired 值

若要識別需要 ACLs 授權的 Amazon S3 請求，您可以使用 Amazon S3 伺服器存取日誌中的 aclRequired 值，或 AWS CloudTrail。在 CloudTrail 或 Amazon S3 伺服器存取日誌中出現aclRequired的值取決於呼叫哪些操作，以及請求者、物件擁有者和儲存貯體擁有者的某些資訊。如果不需要 ACLs，或者如果您要設定bucket-owner-full-control固定 ACL，或者如果儲存貯體政策允許請求，則 Amazon S3 伺服器存取日誌中的aclRequired值字串為 "-"，並且缺少 in CloudTrail。

下表列出各種 Amazon S3 CloudTrail 操作的預期aclRequired值 inAPI 或 Amazon S3 伺服器存取日誌。您可以使用此資訊來了解哪些 Amazon S3 操作依賴 ACLs 進行授權。在下表中，A、B 和 C 代表與請求者、物件擁有者和儲存貯體擁有者相關聯的不同帳戶。帶星號 (*) 的項目表示任何帳戶 A、B 或 C。

下表顯示 CloudTrail aclRequired的值。

下表顯示 Amazon S3 伺服器存取日誌aclRequired的值。

範例 ACL

下列儲存貯體上的 ACL 範例會識別資源擁有者和一組授予。格式是 Amazon S3 ACL 中 API 的 REST XML表示法。儲存貯體擁有者具備資源的 FULL_CONTROL。此外，該 ACL 會示範如何授予資源的許可給兩個 AWS 帳戶，由正式使用者 ID 識別，以及上一節中討論的兩個預先定義的 Amazon S3 群組。

<?xml version="1.0" encoding="UTF-8"?>
<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Owner>
    <ID>Owner-canonical-user-ID</ID>
    <DisplayName>display-name</DisplayName>
  </Owner>
  <AccessControlList>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>Owner-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>FULL_CONTROL</Permission>
    </Grant>
    
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>user1-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>WRITE</Permission>
    </Grant>

    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>user2-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>READ</Permission>
    </Grant>

    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Group">
        <URI>http://acs.amazonaws.com/groups/global/AllUsers</URI> 
      </Grantee>
      <Permission>READ</Permission>
    </Grant>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Group">
        <URI>http://acs.amazonaws.com/groups/s3/LogDelivery</URI>
      </Grantee>
      <Permission>WRITE</Permission>
    </Grant>

  </AccessControlList>
</AccessControlPolicy>

固定ACL

Amazon S3 支援一組預先定義的授予，稱為固定 ACLs。每個固定 ACL 都有一組預先定義的承授者和許可。下表列出一組固定 ACLs 和相關聯的預先定義授予。

您可以使用請求標頭在x-amz-acl請求中指定固定 ACL。當 Amazon S3 在請求中收到具有固定 ACL 的請求時，它會將預先定義的授予新增至資源的 ACL。