桶策略的作用范围为对象存储桶和桶内的所有对象。天翼云用户可以通过设置桶策略为不同类型或不同标识的用户授权桶及桶内对象的操作访问权限。

桶策略使用场景

• 允许其他天翼云用户对该桶进行访问控制时，可以使用桶策略的方式授权相应的读写权限。
• 对于不同的用户，需要对不同的桶有不同的访问控制需求时，使用桶策略，可以简单方便地授权给用户不同的控制权限。

桶策略设置

桶策略包括效力、用户、资源、操作、条件5个桶策略基本元素共同决定。其中：

• 效力：允许/禁止策略中的操作。
• 用户：根据填写的用户类型和用户标识信息，向其他天翼云用户或所有用户（包括匿名访问者）配置策略。
• 资源：指定授权策略的资源范围，可选的资源范围包括整个存储桶或指定资源。
• 操作：配置本策略指定的具体操作，包括：存储桶操作、对象操作。具体可参考下文中的存储桶操作、对象操作。
• 条件：对符合特定条件的用户生效，目前支持以IP为条件配置。

存储桶操作

对象操作

桶策略参数说明

桶策略使用JSON格式的数据管理指定用户对存储资源可执行的操作，格式定义如下为：

{ 
"Statement" : [{
     statement1
  },
  {
     statement2
  },
  ......
 ]
}

以下是桶策略具体示例，表示授权给用户testpolicy对桶bucket1的全部权限：

{
      "Version":"2012-10-17",
      "Statement":[
          {
              "Effect":"Allow",
              "Action":["* "],
              "Principal":{
                  "AWS":["arn:aws:iam:::user/testpolicy"]
              },
              "Resource":"arn:aws:s3:::bucket1/* "
          }
      ]
}

Policy由多条statement组成，也可以是一条。每条statement的结构包括下表内容：

桶策略示例

• 示例1：授权给用户testpolicy和用户testpolicy2获取桶bucket1内对象的权限。

{
      "Version":"2012-10-17",
      "Statement":[
          {
              "Effect":"Allow",
              "Action":["s3:GetObject"],
              "Principal":{
                  "AWS":["arn:aws:iam:::user/testpolicy","arn:aws:iam:::user/testpolicy2"]
              },
              "Resource":"arn:aws:s3:::bucket1/* "
          }
      ]
}

• 示例2：授权给用户testpolicy对桶bucket1的全部权限

{
      "Version":"2012-10-17",
      "Statement":[
          {
              "Effect":"Allow",
              "Action":["* "],
              "Principal":{
                  "AWS":["arn:aws:iam:::user/testpolicy"]
              },
              "Resource":"arn:aws:s3:::bucket1/* "
          }
      ]
}

• 示例3：授权给用户testpolicy对桶bucket1的除上传对象的全部权限

{
      "Version":"2012-10-17",
      "Statement":[
          {
              "Effect":"Allow",
              "Action":["* "],
              "Principal":{
                  "AWS":["arn:aws:iam:::user/testpolicy"]
              },
              "Resource":"arn:aws:s3:::bucket1/* "
          },
          {
              "Effect":"Deny",
              "Action":["s3:PutObject"],
              "Principal":{
                  "AWS":["arn:aws:iam:::user/testpolicy"]
              },
              "Resource":"arn:aws:s3:::bucket1/* "
          }
      ]
}

• 示例4：授权给所有用户（包括匿名用户）获取桶内对象test.png的权限。

{
      "Version":"2012-10-17",
      "Statement":[
          {
              "Effect":"Allow",
              "Action":["s3:GetObject"],
              "Principal":{
                  "AWS":["* "]
              }
              "Resource":"arn:aws:s3:::bucket1/test.png"
          }
      ]
}

桶策略设置方式