淘宝开放平台 - 文档中心

配置Bucket Policy时，如果授权用户选择了匿名账号（*），且不包含Condition的情况下，则Bucket Policy仅对Bucket Owner以外的所有用户生效。如果授权用户选择了匿名账号（*），且包含Condition的情况下，则Bucket Policy会对包含Bucket Owner在内的所有用户生效。

您可以添加多条Bucket Policy，但所有Bucket Policy的大小不允许超过16 KB。

方式一：图形化配置Bucket Policy

单击 Bucket列表，然后单击目标Bucket名称。

单击文件管理页签，然后单击授权。您也可以通过单击权限管理 > Bucket授权策略 > 设置，添加授权策略。

在图形设置页面，单击新增授权。

在新增授权页面配置各项参数，然后单击确定。

指定资源：授权策略只针对指定的资源生效。您可以配置多条针对指定资源的授权策略。

针对目录级别授权

授权访问目录下的所有子目录和文件时，需在目录结尾处加上星号（*）。例如授权访问abc目录下的所有子目录和文件，则填写为 abc/* 。

针对指定文件授权

授权访问目录下的指定文件时，需填写不包含Bucket名称在内的文件的完整路径，例如授权访问abc目录下的myphoto.png文件，则填写为 abc/myphoto.png 。

注意您的账号必须是阿里云账号，或拥有此Bucket管理权限及RAM控制台ListUsers权限的RAM用户，否则无法查看当前账号的RAM用户列表。给RAM用户授予ListUsers权限的具体操作请参见为RAM用户授权。

其他账号：如果您需要给其他阿里云账号、RAM用户以及通过STS生成的临时用户授予访问权限，请选中此项。

当您需要给其他阿里云账号或RAM用户授权时，请输入被授权账号的UID。

当您需要给STS临时用户授权时，输入格式为


    arn:sts::{RoleOwnerUid}:assumed-role/{RoleName}/{RoleSessionName}

。例如生成临时用户时使用的角色为testrole，角色拥有者的阿里云账号UID为12345，生成临时用户时指定的RoleSessionName为testsession。此时应填写


    arn:sts::12345:assumed-role/testrole/testsession

。当您需要给所有临时用户授权时，请使用通配符星号（*）。例如配置为


    arn:sts::*:*/*/*

。生成临时授权用户的操作请参见使用STS临时访问凭证访问OSS 。

若针对某用户同时配置了多条Bucket Policy规则，则该用户所拥有的权限是所有Policy规则的叠加。当这些Bucket Policy中包含拒绝访问权限时，遵循拒绝访问权限优先原则。例如针对某用户第一次设置了只读权限，第二次设置了读/写权限，则该用户最终的权限为读/写。如果第三次设置了拒绝访问权限，则该用户最终的权限为拒绝访问。

只读、读/写、完全控制对应的授权效力为Allow，拒绝访问对应的授权效力为Deny。

您还可以在基础设置和高级设置模式下选中此项，用于限定只有满足条件的用户能够访问OSS资源。

访问方式：默认支持HTTP和HTTPS两种访问方式。如果您希望当前授权策略通过HTTPS的方式来访问Bucket资源，请选择 HTTPS 。如果您希望当前授权策略通过HTTP的方式来访问Bucket资源，请选择 HTTP 。相比HTTP，HTTPS具有更高的安全性。

如果您需要强制Bucket内资源的所有请求访问方式为其中一种，例如HTTPS，您需要通过策略语法的方式来实现。具体设置方法，请参见如何配置HTTPS请求和证书？。

IP = ：设置IP等于某个IP地址或IP地址段。如有多个IP地址，各个IP地址之间用英文逗号（,）分隔。

IP ≠ ：设置IP不等于某个IP地址或IP地址段。如有多个IP地址，各个IP地址之间用英文逗号（,）分隔。

您可以根据实际使用场景，编辑不同的策略语法，用于实现更精细的权限管理。以下为资源拥有者（UID为


   174649585760xxxx

）为不同授权场景配置的Bucket Policy示例。

允许匿名用户列举存储空间examplebucket下所有文件的权限。

{
    "Statement": [
            "Action": [
                "oss:ListObjects",
                "oss:ListObjectVersions"
            "Effect": "Allow",            
            "Principal": [
            "Resource": [
                "acs:oss:*:174649585760xxxx:examplebucket"
    "Version": "1"
         示例2：拒绝源IP地址不在192.168.0.0/16范围内的匿名用户对存储空间examplebucket执行任何操作。{
    "Version": "1",
    "Statement": [
            "Effect": "Deny",
            "Action": "oss:*",
            "Principal": [
            "Resource": [
                "acs:oss:*:174649585760xxxx:examplebucket"
            "Condition":{
                "NotIpAddress": {
                    "acs:SourceIp": ["192.168.0.0/16"]
         示例3：允许指定的RAM用户（UID为20214760404935xxxx）拥有目标存储空间examplebucket下hangzhou/2020和hangzhou/2015目录的只读权限。{
    "Statement": [
            "Action": [
                "oss:GetObject",
                "oss:GetObjectAcl",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl"
            "Effect": "Allow",             
            "Principal": [
                "20214760404935xxxx"
            "Resource": [
                "acs:oss:*:174649585760xxxx:examplebucket/hangzhou/2020/*",
                "acs:oss:*:174649585760xxxx:examplebucket/hangzhou/2015/*"
            "Action": [
                "oss:ListObjects",
                "oss:ListObjectVersions"
            "Condition": {
                "StringLike": {
                    "oss:Prefix": [
                        "hangzhou/2020/*",
                        "hangzhou/2015/*"
            "Effect": "Allow",
            "Principal": [
                "20214760404935xxxx"
            "Resource": [
                "acs:oss:*:174649585760xxxx:examplebucket"
    "Version": "1"
      单击保存。 
     访问授权资源 
     Bucket Policy配置完成后，您可以通过以下方式访问授权资源： 
      文件URL（仅当授权对象为匿名用户时） 在浏览器上，使用Bucket默认域名或自有域名加文件路径进行访问。例如http://mybucket.oss-cn-beijing.aliyuncs.com/file/myphoto.png。详情请参见OSS访问域名使用规则。 
  
      控制台 登录OSS控制台，在左边菜单栏单击我的访问路径后的加号（+），添加授权访问的Bucket和文件路径。具体操作，请参见设置我的访问路径。 
  
      命令行工具ossutil 使用被授权的账号通过ossutil访问授权资源。具体操作，请参见ossutil。 
  
      图形化工具ossbrowser 使用被授权的账号登录ossbrowser，登录时在预设OSS路径栏输入被授权访问的文件目录。具体操作，请参见ossbrowser。 
  
      OSS SDK 支持通过Java、PHP、Node.js、Python、Browser.js、.NET、Android、Go、iOS、C++、C SDK访问授权资源。