Bucket Policy

场景1：授予指定RAM用户读写权限

当需要允许团队成员或合作方的指定成员上传、下载、管理存储空间中的文件时，可通过Bucket Policy为对应的RAM用户统一授予权限。以下示例授予指定RAM用户（UID为27737962156157xxxx和20214760404935xxxx）对目标存储空间（example-bucket）的读写权限。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Allow",
            "Action":[
                "oss:GetObject",
                "oss:PutObject",
                "oss:GetObjectAcl",
                "oss:PutObjectAcl",
                "oss:AbortMultipartUpload",
                "oss:ListParts",
                "oss:RestoreObject",
                "oss:GetVodPlaylist",
                "oss:PostVodPlaylist",
                "oss:PublishRtmpStream",
                "oss:ListObjectVersions",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl",
                "oss:RestoreObjectVersion"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ]
        },
        {
            "Effect":"Allow",
            "Action":[
                "oss:ListObjects"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "*"
                    ]
                }
            }
        }
    ]
}

场景2：授予指定RAM用户对指定目录的只读权限

当需要保护存储空间中的特定项目文件不被篡改，但允许相关项目成员读取这些文件时，可为对应的RAM用户授予只读权限。以下示例授予指定RAM用户（UID为20214760404935xxxx）对目标存储空间（example-bucket）下指定目录（前缀为hangzhou/2020和shanghai/2015）的只读权限。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:GetObject",
                "oss:GetObjectAcl",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/hangzhou/2020/*",
                "acs:oss:*:174649585760xxxx:example-bucket/shanghai/2015/*"
            ]
        },
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "hangzhou/2020/*",
                        "shanghai/2015/*"
                    ]
                }
            },
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

场景3：授予指定RAM用户查看存储空间并列举文件的权限

当需要让团队或合作方的指定成员查看存储空间的所有信息并列举其中的文件时，可通过Bucket Policy为对应的RAM用户授予相应权限。以下示例授予指定RAM用户查看目标存储空间（example-bucket）的所有信息并列举其中文件的权限。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

场景4：授予指定RAM角色读取文件的权限

当需要允许RAM用户或应用程序临时访问存储空间文件时，可创建RAM角色并授予相应权限。RAM用户或应用程序通过扮演该角色，获得读取存储空间文件的临时访问凭证。以下示例为一个阿里云账号下的1个RAM角色下的所有会话以及1个RAM角色下的指定会话授予读取存储空间（example-bucket）下所有文件的权限。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:GetObject"
            ],
            "Effect": "Allow",
            "Principal": [
                "arn:sts::10323xxxxx72056:assumed-role/role-name/session-name",
                "arn:sts::10323xxxxx72056:assumed-role/role2-name/*"
            ],
            "Resource": [
                "acs:oss:*:10323xxxxx72056:example-bucket/*"
            ]
        }
    ]
}

场景5：授予所有访问者列举所有文件的权限

当存储空间用于公共资源共享，需要让所有访问者都能查看文件名但不能访问文件实际内容时，可设置Principal为通配符星号（*），并为其授予列举所有文件的权限。以下示例授予所有访问者列举目标存储空间（example-bucket）下所有文件的权限。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

场景 6：ECS 内网免 AK 访问 OSS

当需要通过同地域 ECS 的内网 Endpoint 访问 OSS 时，是否需要额外授权取决于目标存储空间的读写权限：

• 公共读存储空间：ECS 可直接通过内网 URL 访问，无需额外配置 Bucket Policy。

• 私有存储空间：需在 Bucket Policy 中使用 acs:SourceVpc 条件关键字配置 VPC 授权，允许来自 ECS 所在 VPC 的访问请求。

内网 URL 格式如下，请将 bucketname 替换为目标存储空间名称，将 <region> 替换为 Bucket 所在地域（如 cn-hangzhou）：

https://bucketname.oss-<region>-internal.aliyuncs.com/objectname

可通过以下命令验证内网访问是否正常：

curl -I https://bucketname.oss-<region>-internal.aliyuncs.com/objectname

若返回 403 AccessDenied，说明当前 ECS 所在 VPC 尚未被 Bucket Policy 授权，请按以下步骤排查：

1. 前往Bucket列表，单击目标 Bucket。

2. 在左侧菜单栏单击权限控制 > Bucket授权策略，单击新增授权。

3. 配置授权条件，选择VPC =，指定 ECS 实例所在的 VPC。

4. 确认授权配置无误后，单击确定，应用 Bucket Policy。

5. 确认 ECS 实例使用内网 Endpoint（而非公网 Endpoint）发起访问请求。

6. 重新执行 curl 命令验证。若仍返回 403，检查 Bucket Policy 中 VPC 条件填写的 VPC ID 是否与 ECS 实例所在 VPC ID 一致。

场景1：限制无法从公网访问

当需要禁止从公网访问指定Bucket时，可使用acs:SourceVpc条件关键字创建拒绝策略语句并添加到Bucket Policy中，阻止非VPC网络的请求。公网请求会因不符合VPC网络前缀而被拒绝。以下示例拒绝除VPC网络外的所有访问者访问目标Bucket（example-bucket）。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "oss:*",
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*",
        "acs:oss:*:174649585760xxxx:example-bucket"
      ],
      "Condition": {
        "StringNotLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

场景2：限制只能从指定VPC访问

当需要限制存储空间只能从指定VPC访问时，可使用acs:SourceVpc条件关键字创建拒绝策略语句并添加到Bucket Policy中，阻止其他VPC或公网的请求。其他VPC或公网的请求会因不符合指定VPC ID条件而被拒绝。以下示例拒绝除指定VPC（ID为t4nlw426y44rd3iq4xxxx）外的所有访问者读取目标存储空间（example-bucket）的文件。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

场景3：限制只能从指定公网IP地址访问

当需要限制存储空间只能从指定公网IP地址访问时，需要创建两条拒绝策略语句：

• 语句 1（拒绝非指定IP的公网请求）：通过StringNotLike: acs:SourceVpc: vpc-*识别公网请求（公网请求的acs:SourceVpc值不以vpc-开头），再通过NotIpAddress: acs:SourceIp拒绝非指定IP的公网请求。两个条件同时满足时触发拒绝。

• 语句 2（拒绝所有VPC请求）：通过StringLike: acs:SourceVpc: vpc-*匹配所有VPC请求并拒绝，因为目标是只允许指定公网IP访问。

如果需要限制其他阿里云账号的 VPC 访问，可在语句 2 的 Condition 中将 vpc-* 替换为目标账号的 VPC ID（格式为 vpc-xxx，可在目标账号的 VPC 控制台获取）。acs:SourceVpc 条件键支持填写当前账号和其他阿里云账号的 VPC ID。

将以上两条拒绝策略语句添加到Bucket Policy后，满足任一条件即触发拒绝。以下示例拒绝除指定公网IP地址203.0.113.5外的所有访问者对example-bucket的读取操作。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": [
      "oss:GetObject"
    ],
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*"
    ],
    "Condition": {
      "NotIpAddress": {
        "acs:SourceIp": [
          "203.0.113.5"
        ]
      },
      "StringNotLike": {
        "acs:SourceVpc": [
          "vpc-*"
        ]
      }
    }
  },
    {
      "Effect": "Deny",
      "Action": [
        "oss:GetObject"
      ],
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*"
      ],
      "Condition": {
        "StringLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

场景4：限制只能从指定VPC的指定IP地址网段访问

当需要限制存储空间只能从指定VPC的指定IP地址网段访问时，需要创建两条拒绝策略语句：

• 语句 1（拒绝非指定VPC的所有请求）：通过StringNotEquals: acs:SourceVpc拒绝来自其他VPC和公网的请求。

• 语句 2（拒绝指定VPC内非指定IP段的请求）：通过StringEquals: acs:SourceVpc匹配指定VPC的请求，再通过NotIpAddress: acs:SourceIp拒绝不在指定IP段内的请求。两个条件同时满足时触发拒绝。

将以上两条拒绝策略语句添加到Bucket Policy后，满足任一条件即触发拒绝。以下示例拒绝除指定VPC（ID为t4nlw426y44rd3iq4xxxx）的指定IP地址网段（192.168.0.0/16）以外的所有访问者对目标存储空间（example-bucket）进行读取文件操作。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "192.168.0.0/16"
                    ]
                }
            }
        }
    ]
}

场景5：限制只能从指定公网IP地址或指定VPC访问

当需要限制存储空间只能从指定公网IP地址或指定VPC访问时，需要创建两条拒绝策略语句：

• 语句 1（对公网请求，拒绝非指定IP）：通过StringNotLike: acs:SourceVpc: vpc-*识别公网请求，再通过NotIpAddress: acs:SourceIp拒绝非指定IP的公网请求。两个条件同时满足时触发拒绝。VPC请求因acs:SourceVpc以vpc-开头而不会匹配此语句。

• 语句 2（对VPC请求，拒绝非指定VPC）：通过StringLike: acs:SourceVpc: vpc-*识别VPC请求，再通过StringNotEquals: acs:SourceVpc拒绝非指定VPC的请求。两个条件同时满足时触发拒绝。公网请求因acs:SourceVpc不以vpc-开头而不会匹配此语句。

acs:SourceVpc 条件键支持填写当前账号的 VPC ID，也支持填写其他阿里云账号的 VPC ID，实现跨账号 VPC 访问控制。如需允许其他账号的指定 VPC 访问，将语句 2 中的 VPC ID 替换为目标账号的 VPC ID 即可。

将以上两条拒绝策略语句添加到Bucket Policy后，满足任一条件即触发拒绝。以下示例拒绝除指定公网IP地址（203.0.113.5）或指定VPC（ID为t4nlw426y44rd3iq4xxxx）以外的所有访问者对目标存储空间（example-bucket）进行读取文件操作。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "203.0.113.5"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

场景6：设置IP黑名单

当需要拒绝特定IP地址访问Bucket及其下的Object文件时，可使用IP黑名单策略。通过在Bucket Policy中设置拒绝策略，可阻止指定IP地址或IP地址段的所有访问请求。

策略中的StringLike: acs:SourceVpc: *使用通配符匹配所有值，不会实际限制VPC范围。该条件是为了满足"配置acs:SourceIp时必须同时配置acs:SourceVpc"的强制约束。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": "oss:*",
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*",
      "acs:oss:*:174649585760xxxx:example-bucket"
    ],
    "Condition": {
      "IpAddress": {
        "acs:SourceIp": [
          "101.***.***.100"
        ]
      },
      "StringLike": {
        "acs:SourceVpc": [
          "*"
        ]
      }
    }
  }]
}

场景1：限制API调用方式必须为临时访问凭证

通过API方式访问存储空间资源时，如果需要限制API调用方式必须是临时访问凭证，可使用acs:AccessId条件关键字创建一条拒绝策略语句并将其添加到Bucket Policy中，用于阻止其他非临时访问凭证（例如通过阿里云账号或者RAM用户的长期访问密钥）的访问方式。对于通过非临时访问凭证的访问方式，会触发策略中的拒绝规则。以下示例拒绝除临时访问凭证（以TMP.或者STS.开头的）以外的所有访问者查看目标存储空间（example-bucket）以及列举文件的操作。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition": {
                "StringNotLike": {
                    "acs:AccessId": [
                        "TMP.*",
                        "STS.*"
                 ]
                }
            }
        }
    ]
}

场景2：禁止将 Bucket 和 Object 的 ACL 设置为公共访问

当需要禁止将 Bucket 和 Object 的 ACL 设置为公共访问时，可创建两条拒绝策略语句：

• 使用 oss:x-oss-acl 条件关键字创建一条拒绝策略语句，阻止将 Bucket ACL 设置为除 private 以外的权限。任何尝试设置公共读或公共读写权限的操作会被识别为不符合私有条件，触发拒绝规则。

• 使用 oss:x-oss-object-acl 条件关键字创建一条拒绝策略语句，阻止将 Object ACL 设置为除 private 和 default 以外的权限。

将以上两条拒绝策略语句添加到 Bucket Policy 后，满足任一条件即触发拒绝。以下示例拒绝对目标存储空间（example-bucket）设置公共访问权限的操作。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutBucketAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-acl": "private"
                }
            }
        },
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutObjectAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-object-acl": [
                        "private",
                        "default"
                    ]
                }
            }
        }
    ]
}

场景3：限制ObjectWorm保留策略的最长保留时间

当Bucket开启了对象级别保留策略（ObjectWorm）后，可通过Bucket Policy限制用户设置保留策略时允许的最长保留天数。例如，以下策略限制用户最多只能设置30天的保留策略，超过30天的PutObjectRetention请求将被拒绝。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "oss:PutObjectRetention"
      ],
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*"
      ],
      "Condition": {
        "NumericGreaterThan": {
          "oss:object-remaining-retention-days": "30"
        }
      }
    }
  ]
}