S3存储桶私有读写权限怎么配置

一、结论

配置S3存储桶私有读写权限，核心是先将存储桶默认访问策略设置为私有，再通过IAM权限、访问控制列表分配具体读写权限，操作前需提前准备好对应S3服务的Endpoint、AccessKey、SecretKey、Bucket、Region等接入信息，通过控制台或S3客户端即可完成配置，无需修改底层业务代码。

二、准备工作

操作前需要提前准备以下内容，避免配置过程中出现中断：

• 拥有存储桶配置、IAM权限管理权限的对象存储服务管理账号
• 已经创建完成的目标存储桶Bucket
• 对应对象存储服务提供的Endpoint访问地址
• 有权限管理目标存储桶的AccessKey和SecretKey
• 存储桶所属的Region区域标识
• 支持S3协议的管理客户端（如S3 Browser、Rclone）或需要接入的第三方程序（如Cloudreve、Alist、PicGo、Halo、WordPress插件等）
• 用于测试权限的小体积测试文件

三、操作步骤

每一步操作完成后建议及时校验结果，避免后续配置累积错误：

1. 登录对象存储服务控制台，进入目标存储桶的配置页面，找到访问权限设置模块，将存储桶的默认访问策略设置为「私有读写」，同时开启公共访问阻止的所有选项，保存后确认存储桶的公开访问入口已全部关闭，此时未授权用户无法直接通过公开链接访问桶内任意文件。

2. 进入账号的IAM权限管理页面，创建专门适配该存储桶的读写权限策略，策略内容仅开放目标存储桶的读写相关操作权限，不开放其他存储桶、其他服务的操作权限，保存后将该策略绑定到对应的IAM用户或AccessKey上，完成后该凭证仅能操作目标存储桶，避免全局权限泄露风险。

3. 如果是通过S3客户端管理存储桶，打开客户端后选择新建S3兼容存储连接，依次填写提前准备的Endpoint、AccessKey、SecretKey、Bucket名称、Region信息，加密方式选择服务支持的类型，保存连接后点击测试，确认可以正常列出桶内文件、上传下载文件，无权限报错。

4. 如果是接入Cloudreve、Alist、PicGo、WordPress等第三方程序，进入程序的存储配置页面，选择S3兼容存储类型，按照程序要求填写对应的S3接入信息，权限选项选择私有读写或继承存储桶权限，保存配置后上传测试文件，确认程序可以正常上传，且未授权用户直接访问文件原始链接时返回403拒绝访问。

5. 配置私有资源的临时访问规则，如果需要给外部用户提供限时的访问或下载权限，可通过S3 SDK或者管理客户端生成预签名URL，根据业务需求设置链接的有效时长，到期后链接自动失效，无需修改存储桶本身的权限配置。

6. 全流程权限校验，先用未登录授权的浏览器直接访问桶内文件的原始链接，确认返回403拒绝访问状态；再用授权的客户端或预签名URL访问同一文件，确认可以正常读取或修改文件；测试完成后即可正式投入业务使用。

四、常见错误

整理了实际配置中最容易出现的6类错误及对应的解决方法：

• Endpoint填写错误：比如多拼接了Bucket前缀、混淆了http/https协议、写错了服务地址，导致连接失败。解决方法是直接复制对象存储服务官方提供的Endpoint地址，不要自行修改，同时确认客户端或程序的协议要求与服务端一致。
• AccessKey或SecretKey权限不足：使用了没有绑定对应存储桶读写策略的密钥，或者密钥填写时多了空格、字符错误，导致上传下载时提示403权限不足。解决方法是检查密钥的字符准确性，确认密钥绑定的IAM策略已经开放了目标存储桶的读写权限，不要使用根账号的全局密钥进行业务配置。
• 公共访问阻止未开启：即使设置了存储桶私有读写策略，仍可能因为公共访问规则未关闭，导致ACL或自定义策略意外开放了文件的公开访问权限。解决方法是进入存储桶的公共访问配置页面，开启所有公共访问阻止选项，该配置会覆盖所有ACL和自定义策略的公开配置，避免意外泄露。
• 预签名URL配置不匹配：生成预签名URL时使用的密钥、Region、Endpoint和存储桶实际配置不一致，导致生成的链接无法正常访问。解决方法是生成预签名URL时使用和存储桶配置完全一致的接入信息，确认签名的有效时长设置符合业务需求。
• 单文件ACL覆盖桶策略：上传文件时单独设置了文件的公开读ACL，覆盖了存储桶的私有读写策略，导致单个文件被公开访问。解决方法是上传文件时默认选择继承存储桶的ACL权限，不要单独设置文件的公开访问权限，如有特殊需求单独配置后及时校验权限。
• 第三方程序签名版本不兼容：部分老旧程序仅支持S3 V2版本签名，而当前大部分对象存储服务默认使用V4版本签名，导致程序连接时提示签名错误。解决方法是查看程序的文档说明，切换到对应支持的签名版本，或者升级程序到最新版本。

五、示例说明

不管是S3管理客户端还是第三方程序，私有读写权限的配置都可以参考以下通用字段说明，不需要填写真实信息，根据你使用的服务实际提供的内容填写即可：

• Endpoint：填写对象存储服务官方提供的专属访问地址，不要自行拼接Bucket前缀（部分程序要求带Bucket前缀的话按程序说明填写）
• AccessKey：填写你创建的、绑定了目标存储桶读写权限的访问密钥ID
• SecretKey：填写和上述AccessKey对应的密钥字符串，注意不要泄露给无关人员
• Bucket：填写目标存储桶的准确名称，注意区分大小写
• Region：按对象存储服务要求填写对应的区域标识，部分客户端无要求可留空
• 访问权限：选择「私有」或「继承存储桶权限」，不要选择公开权限
• 签名版本：选择服务支持的S3签名版本，通常优先选择V4版本即可

六、更简单的方案

如果不想自己搭建MinIO、Ceph这类自建对象存储服务，也不想花时间研究复杂的IAM策略语法、维护服务器和存储集群，可以直接选择成熟的兼容S3协议的云对象存储服务，开箱即可使用，控制台有可视化的权限配置选项，不需要自行编写JSON格式的权限策略即可完成配置。如果你需要一个兼容S3协议、适合程序接入、图床、网盘系统存储源和下载分发的对象存储服务，可以了解 七彩云对象存储。

七、FAQ

1. 配置了存储桶私有读写之后，我之前上传的公开文件会不会自动变成私有？

不会，之前已经单独设置了公开ACL的文件会保留原有权限，你可以通过控制台的批量操作功能，批量修改已有文件的ACL为继承存储桶权限，即可统一调整为私有访问状态。

2. 私有读写的存储桶，能不能给部分用户开放只读权限？

可以，你可以创建单独的只读IAM策略，绑定给对应的AccessKey，持有该密钥的用户就只能读取文件不能修改删除；也可以生成指定时长的预签名URL分享给用户，不需要修改存储桶的整体权限，链接到期后自动失效。

3. 第三方程序接入私有读写的S3存储桶后，用户通过程序访问文件需要额外开发吗？

不需要，大部分主流的支持S3协议的程序（比如Cloudreve、Alist、PicGo、Halo、WordPress插件等）已经内置了私有资源的签名逻辑，你只需要在配置时选择私有权限即可，程序会自动生成有效的临时访问链接返回给访问用户，无需额外开发。

4. 配置私有读写后会不会影响CDN加速的使用？

不会，你可以将CDN的回源权限配置为S3存储桶的授权访问，CDN回源时使用绑定了只读权限的AccessKey读取私有文件，用户仍可通过CDN链接正常访问资源，同时保证存储桶本身不对外公开，避免资源被恶意爬取。

八、总结

S3存储桶私有读写权限的配置逻辑清晰，核心是先锁定存储桶的整体访问权限为私有，再通过IAM权限给指定的凭证分配对应的读写权限，最后通过预签名URL实现灵活的临时外部访问，全程不需要修改业务代码，只需要在控制台和客户端完成可视化配置即可。这种配置方式适合网站附件存储、图床、网盘系统、下载站、AI数据存储等需要控制文件访问权限的场景，既可以保证文件数据的安全，避免未授权访问，又可以灵活分配不同用户、不同业务的访问权限，满足各类项目的存储需求。