bucket policy 和 ACL

Amazon S3 提供了多种方法来管理存储桶和对象的访问权限。其中两种主要的方法是使用存储桶策略（Bucket Policy）和访问控制列表（ACL）。以下是对两者的详细讲解，包括它们的用法和区别：

1. 存储桶策略 (Bucket Policy)

• 描述：存储桶策略是一个JSON格式的文档，它定义了对存储桶中的对象的访问规则。

• 用法：

  • 适用于存储桶级别，但可以为存储桶中的特定对象或对象路径设置规则。
  • 可以授予其他AWS账户或IAM用户访问权限。
  • 可以基于多种条件设置权限，如来源IP、特定的请求头等。

• 示例：以下是一个简单的存储桶策略，该策略允许公开读取存储桶中的所有对象：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "PublicRead",
              "Effect": "Allow",
              "Principal": "*",
              "Action": "s3:GetObject",
              "Resource": "arn:aws:s3:::example-bucket/*"
          }
      ]
  }

2. 访问控制列表 (ACL)

• 描述：ACL是与S3存储桶或对象关联的一组权限，可以为特定的AWS用户赋予权限。

• 用法：

  • 可以应用于存储桶或对象。
  • 提供预定义的权限集，如读、写等。
  • 适用于简单的权限模型或需要与之前的S3访问控制模型兼容的场景。

• 示例：你可以为存储桶设置公共读取权限，或者为特定对象设置公共读取权限。

主要区别

1. 粒度：存储桶策略提供更细粒度的控制，允许基于多种条件设置权限；而ACL提供较简单的权限模型。
2. 范围：存储桶策略仅适用于存储桶，但可以为存储桶中的特定对象设置规则；ACL可以应用于存储桶或对象。
3. 复杂性：存储桶策略通常适用于更复杂的访问控制需求；ACL适用于简单的权限需求。
4. 推荐：在大多数情况下，推荐使用IAM策略和存储桶策略，因为它们提供了更为强大和灵活的访问控制机制。ACL主要用于向后兼容或特定的简单用例。