桶策略的作用范圍為對象存儲桶和桶內的所有對象。天翼云用戶可以通過設置桶策略為不同類型或不同標識的用戶授權桶及桶內對象的操作訪問權限。

桶策略使用場景

• 允許其他天翼云用戶對該桶進行訪問控制時，可以使用桶策略的方式授權相應的讀寫權限。
• 對于不同的用戶，需要對不同的桶有不同的訪問控制需求時，使用桶策略，可以簡單方便地授權給用戶不同的控制權限。

桶策略設置

桶策略包括效力、用戶、資源、操作、條件5個桶策略基本元素共同決定。其中：

• 效力：允許/禁止策略中的操作。
• 用戶：根據填寫的用戶類型和用戶標識信息，向其他天翼云用戶或所有用戶（包括匿名訪問者）配置策略。
• 資源：指定授權策略的資源范圍，可選的資源范圍包括整個存儲桶或指定資源。
• 操作：配置本策略指定的具體操作，包括：存儲桶操作、對象操作。具體可參考下文中的存儲桶操作、對象操作。
• 條件：對符合特定條件的用戶生效，目前支持以IP為條件配置。

存儲桶操作

對象操作

桶策略參數說明

桶策略使用JSON格式的數據管理指定用戶對存儲資源可執行的操作，格式定義如下為：

{ 
"Statement" : [{
     statement1
  },
  {
     statement2
  },
  ......
 ]
}

以下是桶策略具體示例，表示授權給用戶testpolicy對桶bucket1的全部權限：

{
      "Version":"2012-10-17",
      "Statement":[
          {
              "Effect":"Allow",
              "Action":["* "],
              "Principal":{
                  "AWS":["arn:aws:iam:::user/testpolicy"]
              },
              "Resource":"arn:aws:s3:::bucket1/* "
          }
      ]
}

Policy由多條statement組成，也可以是一條。每條statement的結構包括下表內容：

桶策略示例

• 示例1：授權給用戶testpolicy和用戶testpolicy2獲取桶bucket1內對象的權限。

{
      "Version":"2012-10-17",
      "Statement":[
          {
              "Effect":"Allow",
              "Action":["s3:GetObject"],
              "Principal":{
                  "AWS":["arn:aws:iam:::user/testpolicy","arn:aws:iam:::user/testpolicy2"]
              },
              "Resource":"arn:aws:s3:::bucket1/* "
          }
      ]
}

• 示例2：授權給用戶testpolicy對桶bucket1的全部權限

{
      "Version":"2012-10-17",
      "Statement":[
          {
              "Effect":"Allow",
              "Action":["* "],
              "Principal":{
                  "AWS":["arn:aws:iam:::user/testpolicy"]
              },
              "Resource":"arn:aws:s3:::bucket1/* "
          }
      ]
}

• 示例3：授權給用戶testpolicy對桶bucket1的除上傳對象的全部權限

{
      "Version":"2012-10-17",
      "Statement":[
          {
              "Effect":"Allow",
              "Action":["* "],
              "Principal":{
                  "AWS":["arn:aws:iam:::user/testpolicy"]
              },
              "Resource":"arn:aws:s3:::bucket1/* "
          },
          {
              "Effect":"Deny",
              "Action":["s3:PutObject"],
              "Principal":{
                  "AWS":["arn:aws:iam:::user/testpolicy"]
              },
              "Resource":"arn:aws:s3:::bucket1/* "
          }
      ]
}

• 示例4：授權給所有用戶（包括匿名用戶）獲取桶內對象test.png的權限。

{
      "Version":"2012-10-17",
      "Statement":[
          {
              "Effect":"Allow",
              "Action":["s3:GetObject"],
              "Principal":{
                  "AWS":["* "]
              }
              "Resource":"arn:aws:s3:::bucket1/test.png"
          }
      ]
}

桶策略設置方式