亚马逊AWS官方博客
·
S3 跨账户访问与 ACL：解决存储桶访问受限问题
💡
原文中文，约5300字，阅读约需13分钟。
📝
内容提要
在 AWS 多账户环境中，跨账户访问 S3 存储桶时，启用 ACL 常导致权限问题。本文分析了存储桶所有者与对象所有者不同的情况，建议禁用 ACL 或优化其配置，以解决“可列出但无法下载”的问题，推荐禁用 ACL 以简化权限管理。
🎯
关键要点
- 在 AWS 多账户环境中，跨账户访问 S3 存储桶时，启用 ACL 常导致权限问题。
- 建议禁用 ACL 或优化其配置，以解决“可列出但无法下载”的问题。
- 存储桶所有者和对象所有者是两个不同的概念，特别在启用 ACL 的场景下。
- 存储桶所有者负责支付存储和数据传输费用，而对象所有者拥有对象的完全控制权。
- 当其他 AWS 账户将对象上传到存储桶时，默认情况下他们成为对象所有者。
- 客户案例中，Account A 遇到“可列出但无法下载”的问题，影响日志分析。
- 问题根源在于存储桶启用了 ACL，导致所有权分离。
- 推荐的解决方案是禁用 ACL，确保新上传的对象归属于存储桶所有者。
- 如果无法禁用 ACL，可以调整配置，将对象所有权设置为“存储桶拥有者首选”。
- 无论采用哪种方案，都需要正确配置存储桶策略和 IAM 权限。
- 本文提供了完整的存储桶策略和 IAM 配置指南，推荐禁用 ACL 以简化权限管理。
❓
延伸问答
在 AWS 多账户环境中，跨账户访问 S3 存储桶时常见的问题是什么？
常见的问题是启用 ACL 后，可能导致权限问题，如“可列出但无法下载”。
为什么建议禁用 ACL 来解决 S3 存储桶的权限问题？
禁用 ACL 可以简化权限管理，确保新上传的对象归属于存储桶所有者，从而避免所有权分离带来的问题。
存储桶所有者和对象所有者有什么区别？
存储桶所有者是创建存储桶的 AWS 账户，负责存储费用；对象所有者是上传对象的 AWS 账户，拥有对象的完全控制权。
如果无法禁用 ACL，应该如何调整配置？
可以将对象所有权设置为“存储桶拥有者首选”，并确保使用 bucket-owner-full-control ACL 上传对象。
在解决 S3 存储桶权限问题时，存储桶策略和 IAM 权限如何配置？
需要在存储桶中添加策略，允许特定账户访问，并在相关账户中为角色添加 IAM 策略，确保权限正确配置。
如何识别依赖 ACL 的访问模式？
可以通过开启 S3 服务器访问日志，分析日志中的 aclRequired 字段，判断请求是否依赖 ACL 进行授权。
➡️
