儲存貯體操作和許可物件操作和許可一般用途儲存貯體操作和許可的存取點 Object Lambda 存取點操作和許可多區域存取點操作和許可批次作業操作和許可 S3 Storage Lens 組態操作和許可 S3 Storage Lens 群組操作和許可 S3 Access Grants 執行個體操作和許可 S3 Access Grants 位置操作和許可 S3 Access Grants 授予操作和許可帳戶操作和許可

Amazon S3 API 操作所需的許可

注意

此頁面與一般用途儲存貯體的 Amazon S3 政策動作相關。若要進一步了解目錄儲存貯體的 Amazon S3 政策動作，請參閱目錄儲存貯體的動作。

若要執行 S3 API 操作，您必須具備正確的許可。此頁面會將 S3 API 操作映射到所需的許可。若要授予執行 S3 API 操作的許可，您必須撰寫有效的政策 (例如 S3 儲存貯體政策或 IAM 身分型政策)，並在政策的 Action 元素中指定對應的動作。這些動作稱為政策動作。並非每個 S3 API 操作都會由單一許可 (單一政策動作) 表示，許多不同的 API 操作需要一些許可 (一些政策動作)。

當您撰寫政策時，您必須根據對應 Amazon S3 政策動作所需的正確資源類型指定 Resource 元素。此頁面會依資源類型分類 S3 API 操作的許可。如需資源類型的詳細資訊，請參閱服務授權參考中的 Amazon S3 定義的資源類型。如需 Amazon S3 政策中所使用政策動作、資源和條件索引鍵的完整清單，請參閱服務授權參考中的 Amazon S3 的動作、資源和條件索引鍵。如需 Amazon S3 API 操作的完整清單，請參閱 Amazon Simple Storage Service API 參考中的 Amazon S3 API 動作。

如需如何解決 S3 中 HTTP 403 Forbidden錯誤的詳細資訊，請參閱對 Amazon S3 中的存取遭拒 (403 Forbidden) 錯誤進行故障診斷。如需與 S3 搭配使用之 IAM 功能的詳細資訊，請參閱 Amazon S3 如何搭配 IAM 運作。如需 S3 安全最佳實務的詳細資訊，請參閱 Amazon S3 的安全最佳實務。

儲存貯體操作是在儲存貯體資源類型上執行的 S3 API 操作。您必須為儲存貯體政策或 IAM 身分型政策中的儲存貯體操作指定 S3 政策動作。

在政策中，Resource元素必須是儲存貯體的 Amazon Resource Name (ARN)。如需 Resource 元素格式和範例政策的詳細資訊，請參閱儲存貯體操作。

注意

若要在存取點政策中授予儲存貯體操作的許可，請注意下列事項：

存取點政策中授予的儲存貯體操作許可只有在基礎儲存貯體允許相同的許可時才有效。當您使用存取點時，您必須將存取控制從儲存貯體委派給存取點，或在存取點政策中將相同的許可新增至基礎儲存貯體的政策。
在授予儲存貯體操作許可的存取點政策中，Resource 元素必須是 accesspoint ARN。如需 Resource 元素格式和範例政策的詳細資訊，請參閱一般用途儲存貯體存取點政策中的儲存貯體操作。如需存取點政策的詳細資訊，請參閱設定將存取點用於一般用途儲存貯體的 IAM 政策。
存取點不支援所有儲存貯體操作。如需詳細資訊，請參閱一般用途儲存貯體與 S3 操作相容性的存取點。

以下是儲存貯體操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
CreateBucket	(必要) `s3:CreateBucket`	建立新的 S3 儲存貯體時需要。
	(條件式必要) `s3:PutBucketAcl`	如果您想要在提出 `CreateBucket` 請求時，使用存取控制清單 (ACL) 來指定儲存貯體的許可，則為必要項。
	(條件式必要) `s3:PutBucketObjectLockConfiguration`、`s3:PutBucketVersioning`	如果您想要在建立儲存貯體時啟用物件鎖定，則為必要項。
	(條件式必要) `s3:PutBucketOwnershipControls`	如果您想要在建立儲存貯體時指定 S3 物件擁有權，則為必要項。
CreateBucketMetadataTableConfiguration	(必要) `s3:CreateBucketMetadataTableConfiguration`、`s3tables:CreateNamespace`、`s3tables:CreateTable`、`s3tables:GetTable`、`s3tables:PutTablePolicy`	在一般用途儲存貯體上建立中繼資料表組態時需要。若要在中繼資料表組態指定的資料表儲存貯體中建立中繼資料表，您必須具有指定的 `s3tables` 許可。如果您也想要整合資料表儲存貯體與 AWS 分析服務，以便查詢中繼資料資料表，則需要額外的許可。如需詳細資訊，請參閱將 Amazon S3 Tables 與 AWS 分析服務整合。
DeleteBucket	(必要) `s3:DeleteBucket`	刪除 S3 儲存貯體時需要。
DeleteBucketAnalyticsConfiguration	(必要) `s3:PutAnalyticsConfiguration`	從 S3 儲存貯體中刪除 S3 分析組態時需要。
DeleteBucketCors	(必要) `s3:PutBucketCORS`	刪除儲存貯體的跨來源資源共用 (CORS) 組態時需要。
DeleteBucketEncryption	(必要) `s3:PutEncryptionConfiguration`	將 S3 儲存貯體的預設加密組態重設為使用 Amazon S3 受管金鑰的伺服器端加密 (SSE-S3) 時需要。
DeleteBucketIntelligentTieringConfiguration	(必要) `s3:PutIntelligentTieringConfiguration`	從 S3 儲存貯體中刪除現有的 S3 Intelligent-Tiering 組態時需要。
DeleteBucketInventoryConfiguration	(必要) `s3:PutInventoryConfiguration`	從 S3 儲存貯體中刪除 S3 庫存清單組態時需要。
DeleteBucketLifecycle	(必要) `s3:PutLifecycleConfiguration`	刪除 S3 儲存貯體的 S3 生命週期組態時需要。
DeleteBucketMetadataTableConfiguration	(必要) `s3:DeleteBucketMetadataTableConfiguration`	從一般用途儲存貯體中刪除中繼資料表組態時需要。
DeleteBucketMetricsConfiguration	(必要) `s3:PutMetricsConfiguration`	從 S3 儲存貯體中刪除 Amazon CloudWatch 請求指標的指標組態時需要。
DeleteBucketOwnershipControls	(必要) `s3:PutBucketOwnershipControls`	移除 S3 儲存貯體的物件擁有權設定時需要。移除之後，物件擁有權設定會變成 `Object writer`。
DeleteBucketPolicy	(必要) `s3:DeleteBucketPolicy`	刪除 S3 儲存貯體的政策時需要。
DeleteBucketReplication	(必要) `s3:PutReplicationConfiguration`	刪除 S3 儲存貯體的複寫組態時需要。
DeleteBucketTagging	(必要) `s3:PutBucketTagging`	從 S3 儲存貯體中刪除標籤時需要。
DeleteBucketWebsite	(必要) `s3:DeleteBucketWebsite`	移除 S3 儲存貯體的網站組態時需要。
DeletePublicAccessBlock (儲存貯體層級)	(必要) `s3:PutBucketPublicAccessBlock`	移除 S3 儲存貯體的封鎖公開存取組態時需要。
GetBucketAccelerateConfiguration	(必要) `s3:GetAccelerateConfiguration`	使用 accelerate 子資源傳回儲存貯體的 Amazon S3 Transfer Acceleration 狀態 (即 Enabled 或 Suspended) 時需要。
GetBucketAcl	(必要) `s3:GetBucketAcl`	傳回 S3 儲存貯體的存取控制清單 (ACL) 時需要。
GetBucketAnalyticsConfiguration	(必要) `s3:GetAnalyticsConfiguration`	從 S3 儲存貯體傳回由分析組態 ID 識別的分析組態時需要。
GetBucketCors	(必要) `s3:GetBucketCORS`	傳回 S3 儲存貯體的跨來源資源共用 (CORS) 組態時需要。
GetBucketEncryption	(必要) `s3:GetEncryptionConfiguration`	傳回 S3 儲存貯體的預設加密組態時需要。
GetBucketIntelligentTieringConfiguration	(必要) `s3:GetIntelligentTieringConfiguration`	取得 S3 儲存貯體的 S3 Intelligent-Tiering 組態時需要。
GetBucketInventoryConfiguration	(必要) `s3:GetInventoryConfiguration`	從儲存貯體傳回由庫存組態 ID 識別的庫存組態時需要。
GetBucketLifecycle	(必要) `s3:GetLifecycleConfiguration`	傳回儲存貯體的 S3 生命週期組態時需要。
GetBucketLocation	(必要) `s3:GetBucketLocation`	傳回 AWS 區域 S3 儲存貯體所在的時需要。
GetBucketLogging	(必要) `s3:GetBucketLogging`	傳回 S3 儲存貯體的記錄狀態以及使用者檢視和修改該狀態所需的許可時需要。
GetBucketMetadataTableConfiguration	(必要) `s3:GetBucketMetadataTableConfiguration`	擷取一般用途儲存貯體的中繼資料表組態時需要。
GetBucketMetricsConfiguration	(必要) `s3:GetMetricsConfiguration`	從儲存貯體取得指標組態 ID 指定的指標組態時需要。
GetBucketNotificationConfiguration	(必要) `s3:GetBucketNotification`	傳回 S3 儲存貯體的通知組態時需要。
GetBucketOwnershipControls	(必要) `s3:GetBucketOwnershipControls`	擷取 S3 儲存貯體的物件擁有權設定時需要。
GetBucketPolicy	(必要) `s3:GetBucketPolicy`	傳回 S3 儲存貯體的政策時需要。
GetBucketPolicyStatus	(必要) `s3:GetBucketPolicyStatus`	擷取 S3 儲存貯體的政策狀態以指出儲存貯體是否公開時需要。
GetBucketReplication	(必要) `s3:GetReplicationConfiguration`	傳回 S3 儲存貯體的複寫組態時需要。
GetBucketRequestPayment	(必要) `s3:GetBucketRequestPayment`	傳回 S3 儲存貯體的請求付款組態時需要。
GetBucketVersioning	(必要) `s3:GetBucketVersioning`	傳回 S3 儲存貯體的版本控制狀態時需要。
GetBucketTagging	(必要) `s3:GetBucketTagging`	傳回與 S3 儲存貯體相關聯的標籤組時需要。
GetBucketWebsite	(必要) `s3:GetBucketWebsite`	傳回 S3 儲存貯體的網站組態時需要。
GetObjectLockConfiguration	(必要) `s3:GetBucketObjectLockConfiguration`	取得 S3 儲存貯體的物件鎖定組態時需要。
GetPublicAccessBlock (儲存貯體層級)	(必要) `s3:GetBucketPublicAccessBlock`	擷取 S3 儲存貯體的封鎖公開存取組態時需要。
HeadBucket	(必要) `s3:ListBucket`	判斷儲存貯體是否存在以及您是否有許可加以存取時需要。
ListBucketAnalyticsConfigurations	(必要) `s3:GetAnalyticsConfiguration`	列出 S3 儲存貯體的分析組態時需要。
ListBucketIntelligentTieringConfigurations	(必要) `s3:GetIntelligentTieringConfiguration`	列出 S3 儲存貯體的 S3 Intelligent-Tiering 組態時需要。
ListBucketInventoryConfigurations	(必要) `s3:GetInventoryConfiguration`	傳回 S3 儲存貯體的庫存組態清單時需要。
ListBucketMetricsConfigurations	(必要) `s3:GetMetricsConfiguration`	列出 S3 儲存貯體的指標組態時需要。
ListObjects	(必要) `s3:ListBucket`	列出 S3 儲存貯體中的部分或全部物件 (最多 1,000 個) 時需要。
	(條件式必要) `s3:GetObjectAcl`	如果您想要顯示物件擁有者資訊，則為必要項。
ListObjectsV2	(必要) `s3:ListBucket`	列出 S3 儲存貯體中的部分或全部物件 (最多 1,000 個) 時需要。
	(條件式必要) `s3:GetObjectAcl`	如果您想要顯示物件擁有者資訊，則為必要項。
ListObjectVersions	(必要) `s3:ListBucketVersions`	取得 S3 儲存貯體中所有物件版本的中繼資料時需要。
PutBucketAccelerateConfiguration	(必要) `s3:PutAccelerateConfiguration`	設定現有儲存貯體的加速組態時需要。
PutBucketAcl	(必要) `s3:PutBucketAcl`	使用存取控制清單 (ACL) 設定現有儲存貯體的許可時需要。
PutBucketAnalyticsConfiguration	(必要) `s3:PutAnalyticsConfiguration`	設定 S3 儲存貯體的分析組態時需要。
PutBucketCors	(必要) `s3:PutBucketCORS`	設定 S3 儲存貯體的跨來源資源共用 (CORS) 組態時需要。
PutBucketEncryption	(必要) `s3:PutEncryptionConfiguration`	設定 S3 儲存貯體的預設加密時需要。
PutBucketIntelligentTieringConfiguration	(必要) `s3:PutIntelligentTieringConfiguration`	將 S3 Intelligent-Tiering 組態放入 S3 儲存貯體時需要。
PutBucketInventoryConfiguration	(必要) `s3:PutInventoryConfiguration`	將庫存組態新增至 S3 儲存貯體時需要。
PutBucketLifecycle	(必要) `s3:PutLifecycleConfiguration`	為 S3 儲存貯體建立新的 S3 生命週期組態或取代現有的生命週期組態時需要。
PutBucketLogging	(必要) `s3:PutBucketLogging`	為 S3 儲存貯體設定記錄參數並指定誰可以檢視和修改記錄參數的許可時需要。
PutBucketMetricsConfiguration	(必要) `s3:PutMetricsConfiguration`	為 S3 儲存貯體的 Amazon CloudWatch 請求指標設定或更新其指標組態時需要。
PutBucketNotificationConfiguration	(必要) `s3:PutBucketNotification`	為 S3 儲存貯體啟用指定事件的通知時需要。
PutBucketOwnershipControls	(必要) `s3:PutBucketOwnershipControls`	建立或修改現有 S3 儲存貯體的物件擁有權設定時需要。
PutBucketPolicy	(必要) `s3:PutBucketPolicy`	將 S3 儲存貯體政策套用至儲存貯體時需要。
PutBucketReplication	(必要) `s3:PutReplicationConfiguration`	為 S3 儲存貯體建立新的複寫組態或取代現有的複寫組態時需要。
PutBucketRequestPayment	(必要) `s3:PutBucketRequestPayment`	設定儲存貯體的請求付款組態時需要。
PutBucketTagging	(必要) `s3:PutBucketTagging`	將一組標籤新增至 S3 儲存貯體時需要。
PutBucketVersioning	(必要) `s3:PutBucketVersioning`	設定 S3 儲存貯體的版本控制狀態時需要。
PutBucketWebsite	(必要) `s3:PutBucketWebsite`	將儲存貯體設定為網站並設定網站的組態時需要。
PutObjectLockConfiguration	(必要) `s3:PutBucketObjectLockConfiguration`	在 S3 儲存貯體上放置物件鎖定組態時需要。
PutPublicAccessBlock (儲存貯體層級)	(必要) `s3:PutBucketPublicAccessBlock`	建立或修改特定 S3 儲存貯體的封鎖公開存取組態時需要。

物件操作是對物件資源類型執行的 S3 API 操作。您必須在資源型政策 (例如儲存貯體政策、存取點政策、多區域存取點政策、VPC 端點政策) 或 IAM 身分型政策中指定物件操作的 S3 政策動作。

在政策中，Resource 元素必須是物件的 ARN。如需 Resource 元素格式和範例政策的詳細資訊，請參閱物件操作。

注意

AWS KMS 政策動作 (kms:GenerateDataKey 和 kms:Decrypt) 僅適用於 AWS KMS 資源類型，且必須在 IAM 身分型政策和資源 AWS KMS 型政策 (AWS KMS 金鑰政策）中指定。您無法在 S3 資源型政策中指定 AWS KMS 政策動作，例如 S3 儲存貯體政策。
當您使用存取點控制對物件操作的存取時，您可以使用存取點政策。若要在存取點政策中授予物件操作的許可，請注意下列事項：
- 在授予物件操作許可的存取點政策中，Resource 元素必須是透過存取點存取之物件的 ARN。如需 Resource 元素格式和範例政策的詳細資訊，請參閱存取點政策中的物件操作。
- 存取點不支援所有物件操作。如需詳細資訊，請參閱一般用途儲存貯體與 S3 操作相容性的存取點。
多區域存取點不支援所有物件操作。如需詳細資訊，請參閱多區域存取點與 S3 操作的相容性。

以下是物件操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
AbortMultipartUpload	(必要) `s3:AbortMultipartUpload`	中止分段上傳時需要。
CompleteMultipartUpload	(必要) `s3:PutObject`	完成分段上傳時需要。
	(條件式必要) `kms:Decrypt`	如果您想要完成 AWS KMS 客戶受管金鑰加密物件的分段上傳，則為必要項目。
CopyObject	對於來源物件：	對於來源物件：
	(必要) `s3:GetObject` 或 `s3:GetObjectVersion`	`s3:GetObject` – 如果您想要從來源儲存貯體複製物件，而不在請求中指定 `versionId`，則為必要項。 `s3:GetObjectVersion` – 如果您想要透過在請求中指定 `versionId`，從來源儲存貯體複製特定版本的物件，則為必要項。
	(條件式必要) `kms:Decrypt`	如果您想要從來源儲存貯體複製 AWS KMS 客戶受管金鑰加密物件，則為必要項目。
	對於目的地物件：	對於目的地物件：
	(必要) `s3:PutObject`	將複製的物件放入目的地儲存貯體時需要。
	(條件式必要) `s3:PutObjectAcl`	如果您想要在提出 `CopyObject` 請求時，將具有物件存取控制清單 (ACL) 的複製物件放入目的地儲存貯體，則為必要項。
	(條件式必要) `s3:PutObjectTagging`	如果您想要在提出 `CopyObject` 請求時，將具有物件標記的複製物件放入目的地儲存貯體，則為必要項。
	(條件式必要) `kms:GenerateDataKey`	如果您想要使用 AWS KMS 客戶受管金鑰加密複製的物件，並將其放入目的地儲存貯體，則為必要項目。
	(條件式必要) `s3:PutObjectRetention`	如果您想要為新物件設定物件鎖定保留組態，則為必要項。
	(條件式必要) `s3:PutObjectLegalHold`	如果您想要在新物件上放置物件鎖定法務保存，則為必要項。
CreateMultipartUpload	(必要) `s3:PutObject`	建立分段上傳時需要。
	(條件式必要) `s3:PutObjectAcl`	如果您想要為上傳的物件設定物件存取控制清單 (ACL) 許可，則為必要項。
	(條件式必要) `s3:PutObjectTagging`	如果您想要將一或多個物件標記新增至上傳的物件，則為必要項。
	(條件式必要) `kms:GenerateDataKey`	如果您想要在啟動分段上傳時，使用 AWS KMS 客戶受管金鑰來加密物件，則為必要項目。
	(條件式必要) `s3:PutObjectRetention`	如果您想要為上傳的物件設定物件鎖定保留組態，則為必要項。
	(條件式必要) `s3:PutObjectLegalHold`	如果您想要將物件鎖定法務保存套用至上傳的物件，則為必要項。
DeleteObject	(必要) `s3:DeleteObject` 或 `s3:DeleteObjectVersion`	`s3:DeleteObject` – 如果您想要移除物件，而不在請求中指定 `versionId`，則為必要項。 `s3:DeleteObjectVersion` – 如果您想要透過在請求中指定 `versionId` 來移除特定版本的物件，則為必要項。
	(條件式必要) `s3:BypassGovernanceRetention`	如果您想要刪除受物件鎖定保留控管模式保護的物件，則為必要項。
DeleteObjects	(必要) `s3:DeleteObject` 或 `s3:DeleteObjectVersion`	`s3:DeleteObject` – 如果您想要移除物件，而不在請求中指定 `versionId`，則為必要項。 `s3:DeleteObjectVersion` – 如果您想要透過在請求中指定 `versionId` 來移除特定版本的物件，則為必要項。
	(條件式必要) `s3:BypassGovernanceRetention`	如果您想要刪除受物件鎖定保留控管模式保護的物件，則為必要項。
DeleteObjectTagging	(必要) `s3:DeleteObjectTagging` 或 `s3:DeleteObjectVersionTagging`	`s3:DeleteObjectTagging` – 如果您想要移除物件的整個標籤組，而不在請求中指定 `versionId`，則為必要項。 `s3:DeleteObjectVersionTagging` – 如果您想要透過在請求中指定 `versionId` 來刪除特定物件版本的標籤，則為必要項。
GetObject	(必要) `s3:GetObject` 或 `s3:GetObjectVersion`	`s3:GetObject` – 如果您想要取得物件，而不在請求中指定 `versionId`，則為必要項。 `s3:GetObjectVersion` – 如果您想要透過在請求中指定 `versionId` 來取得特定版本的物件，則為必要項。
	(條件式必要) `kms:Decrypt`	如果您想要取得和解密 AWS KMS 客戶受管金鑰加密物件，則為必要項目。
	(條件式必要) `s3:GetObjectTagging`	如果您想要在提出 `GetObject` 請求時取得物件的標籤組，則為必要項。
	(條件式必要) `s3:GetObjectLegalHold`	如果您想要取得物件的目前物件鎖定法務保存狀態，則為必要項。
	(條件式必要) `s3:GetObjectRetention`	如果您想要擷取物件的物件鎖定保留設定，則為必要項。
GetObjectAcl	(必要) `s3:GetObjectAcl` 或 `s3:GetObjectVersionAcl`	`s3:GetObjectAcl` – 如果您想要取得物件的存取控制清單 (ACL)，而不在請求中指定 `versionId`，則為必要項。 `s3:GetObjectVersionAcl` – 如果您想要透過在請求中指定 `versionId` 來取得物件的存取控制清單 (ACL)，則為必要項。
GetObjectAttributes	(必要) `s3:GetObject` 或 `s3:GetObjectVersion`	`s3:GetObject` – 如果您想要擷取與物件相關的屬性，而不在請求中指定 `versionId`，則為必要項。 `s3:GetObjectVersion` – 如果您想要透過在請求中指定 `versionId` 來擷取與物件相關的屬性，則為必要項。
	(條件式必要) `kms:Decrypt`	如果您想要擷取 AWS KMS 與客戶受管金鑰加密物件相關的屬性，則為必要項目。
GetObjectLegalHold	(必要) `s3:GetObjectLegalHold`	取得物件的目前物件鎖定法務保存狀態時需要。
GetObjectRetention	(必要) `s3:GetObjectRetention`	擷取物件的物件鎖定保留設定時需要。
GetObjectTagging	(必要) `s3:GetObjectTagging` 或 `s3:GetObjectVersionTagging`	`s3:GetObjectTagging` – 如果您想要取得物件的標籤組，而不在請求中指定 `versionId`，則為必要項。 `s3:GetObjectVersionTagging` – 如果您想要透過在請求中指定 `versionId` 來取得特定物件版本的標籤，則為必要項。
GetObjectTorrent	(必要) `s3:GetObject`	傳回物件的 torrent 檔案時需要。
HeadObject	(必要) `s3:GetObject`	從物件擷取中繼資料而不傳回物件本身時需要。
	(條件式必要) `s3:GetObjectLegalHold`	如果您想要取得物件的目前物件鎖定法務保存狀態，則為必要項。
	(條件式必要) `s3:GetObjectRetention`	如果您想要擷取物件的物件鎖定保留設定，則為必要項。
ListMultipartUploads	(必要) `s3:ListBucketMultipartUploads`	列出儲存貯體中正在進行的分段上傳時需要。
ListParts	(必要) `s3:ListMultipartUploadParts`	列出特定分段上傳已上傳的組件時需要。
	(條件式必要) `kms:Decrypt`	如果您想要列出 AWS KMS 客戶受管金鑰加密分段上傳的部分，則為必要。
PutObject	(必要) `s3:PutObject`	放置物件時需要。
	(條件式必要) `s3:PutObjectAcl`	如果您想要在提出 `PutObject` 請求時放置物件存取控制清單 (ACL)，則為必要項。
	(條件式必要) `s3:PutObjectTagging`	如果您想要在提出 `PutObject` 請求時放置物件標記，則為必要項。
	(條件式必要) `kms:GenerateDataKey`	如果您想要使用 AWS KMS 客戶受管金鑰加密物件，則為必要項目。
	(條件式必要) `s3:PutObjectRetention`	如果您想要在物件上設定物件鎖定保留組態，則為必要項。
	(條件式必要) `s3:PutObjectLegalHold`	如果您想要將物件鎖定法務保存組態套用至指定的物件，則為必要項。
PutObjectAcl	(必要) `s3:PutObjectAcl` 或 `s3:PutObjectVersionAcl`	`s3:PutObjectAcl` – 如果您想要為新的或現有的物件設定存取控制清單 (ACL) 許可，而不在請求中指定 `versionId`，則為必要項。 `s3:PutObjectVersionAcl` – 如果您想要透過在請求中指定 `versionId`，為新的或現有的物件設定存取控制清單 (ACL) 許可，則為必要項。
PutObjectLegalHold	(必要) `s3:PutObjectLegalHold`	將物件鎖定法務保存組態套用至物件時需要。
PutObjectRetention	(必要) `s3:PutObjectRetention`	將物件鎖定保留組態套用至物件時需要。
	(條件式必要) `s3:BypassGovernanceRetention`	如果您想要略過物件鎖定保留組態的控管模式，則為必要項。
PutObjectTagging	(必要) `s3:PutObjectTagging` 或 `s3:PutObjectVersionTagging`	`s3:PutObjectTagging` – 如果您想要將提供的標籤組設定為儲存貯體中已存在的物件，而不在請求中指定 `versionId`，則為必要項。 `s3:PutObjectVersionTagging` – 如果您想要透過在請求中指定 `versionId`，將提供的標籤組設定為儲存貯體中已存在的物件，則為必要項。
RestoreObject	(必要) `s3:RestoreObject`	還原已封存的物件複本時需要。
SelectObjectContent	(必要) `s3:GetObject`	根據簡單的結構化查詢語言 (SQL) 陳述式篩選 S3 物件的內容時需要。
	(條件式必要) `kms:Decrypt`	如果您想要篩選使用 AWS KMS 客戶受管金鑰加密的 S3 物件內容，則為必要。
UploadPart	(必要) `s3:PutObject`	在分段上傳中上傳組件時需要。
	(條件式必要) `kms:GenerateDataKey`	如果您想要放置上傳組件並使用 AWS KMS 客戶受管金鑰進行加密，則為必要項目。
UploadPartCopy	對於來源物件：	對於來源物件：
	(必要) `s3:GetObject` 或 `s3:GetObjectVersion`	`s3:GetObject` – 如果您想要從來源儲存貯體複製物件，而不在請求中指定 `versionId`，則為必要項。 `s3:GetObjectVersion` – 如果您想要透過在請求中指定 `versionId`，從來源儲存貯體複製特定版本的物件，則為必要項。
	(條件式必要) `kms:Decrypt`	如果您想要從來源儲存貯體複製 AWS KMS 客戶受管金鑰加密物件，則為必要項目。
	對於目的地組件：	對於目的地組件：
	(必要) `s3:PutObject`	將分段上傳組件上傳至目的地儲存貯體時需要。
	(條件式必要) `kms:GenerateDataKey`	當您將組件上傳至目的地儲存貯體時，如果您想要使用 AWS KMS 客戶受管金鑰加密組件，則為必要項目。

存取點操作是在 accesspoint 資源類型上執行的 S3 API 操作。您必須在 IAM 身分型政策中 (而不是在儲存貯體政策或存取點政策中) 指定存取點操作的 S3 政策動作。

在政策中，Resource 元素必須是 accesspoint ARN。如需 Resource 元素格式和範例政策的詳細資訊，請參閱一般用途儲存貯體操作的存取點。

注意

如果您想要使用存取點來控制對儲存貯體或物件操作的存取，請注意下列事項：

如需使用存取點控制對儲存貯體操作的存取，請參閱一般用途儲存貯體存取點政策中的儲存貯體操作。
如需使用存取點控制物件操作的存取，請參閱存取點政策中的物件操作。
如需如何設定存取點政策的詳細資訊，請參閱設定將存取點用於一般用途儲存貯體的 IAM 政策。

以下是存取點操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
CreateAccessPoint	(必要) `s3:CreateAccessPoint`	建立與 S3 儲存貯體相關聯的存取點時需要。
DeleteAccessPoint	(必要) `s3:DeleteAccessPoint`	刪除存取點時需要。
DeleteAccessPointPolicy	(必要) `s3:DeleteAccessPointPolicy`	刪除存取點政策時需要。
GetAccessPointPolicy	(必要) `s3:GetAccessPointPolicy`	擷取存取點政策時需要。
GetAccessPointPolicyStatus	(必要) `s3:GetAccessPointPolicyStatus`	擷取資訊以了解指定的存取點目前是否有允許公開存取的政策時需要。
PutAccessPointPolicy	(必要) `s3:PutAccessPointPolicy`	放置存取點政策時需要。

Object Lambda 存取點操作是在 objectlambdaaccesspoint 資源類型上執行的 S3 API 操作。如需如何為 Object Lambda 存取點操作設定政策的詳細資訊，請參閱設定 Object Lambda 存取點的 IAM 政策。

以下是 Object Lambda 存取點操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
CreateAccessPointForObjectLambda	(必要) `s3:CreateAccessPointForObjectLambda`	建立 Object Lambda 存取點時需要。
DeleteAccessPointForObjectLambda	(必要) `s3:DeleteAccessPointForObjectLambda`	刪除指定的 Object Lambda 存取點時需要。
DeleteAccessPointPolicyForObjectLambda	(必要) `s3:DeleteAccessPointPolicyForObjectLambda`	刪除指定 Object Lambda 存取點上的政策時需要。
GetAccessPointConfigurationForObjectLambda	(必要) `s3:GetAccessPointConfigurationForObjectLambda`	擷取 Object Lambda 存取點的組態時需要。
GetAccessPointForObjectLambda	(必要) `s3:GetAccessPointForObjectLambda`	擷取 Object Lambda 存取點的相關資訊時需要。
GetAccessPointPolicyForObjectLambda	(必要) `s3:GetAccessPointPolicyForObjectLambda`	傳回與指定 Object Lambda 存取點相關聯的存取點政策時需要。
GetAccessPointPolicyStatusForObjectLambda	(必要) `s3:GetAccessPointPolicyStatusForObjectLambda`	傳回特定 Object Lambda 存取點政策的政策狀態時需要。
PutAccessPointConfigurationForObjectLambda	(必要) `s3:PutAccessPointConfigurationForObjectLambda`	設定 Object Lambda 存取點的組態時需要。
PutAccessPointPolicyForObjectLambda	(必要) `s3:PutAccessPointPolicyForObjectLambda`	將存取政策與指定的 Object Lambda 存取點建立關聯時需要。

多區域存取點操作是在 multiregionaccesspoint 資源類型上執行的 S3 API 操作。如需如何為多區域存取點操作設定政策的詳細資訊，請參閱多區域存取點政策範例。

以下是多區域存取點操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
CreateMultiRegionAccessPoint	(必要) `s3:CreateMultiRegionAccessPoint`	建立多區域存取點並將其與 S3 儲存貯體建立關聯時需要。
DeleteMultiRegionAccessPoint	(必要) `s3:DeleteMultiRegionAccessPoint`	刪除多區域存取點時需要。
DescribeMultiRegionAccessPointOperation	(必要) `s3:DescribeMultiRegionAccessPointOperation`	擷取非同步請求的狀態以管理多區域存取點時需要。
GetMultiRegionAccessPoint	(必要) `s3:GetMultiRegionAccessPoint`	傳回指定多區域存取點的相關組態資訊時需要。
GetMultiRegionAccessPointPolicy	(必要) `s3:GetMultiRegionAccessPointPolicy`	傳回指定多區域存取點的存取控制政策時需要。
GetMultiRegionAccessPointPolicyStatus	(必要) `s3:GetMultiRegionAccessPointPolicyStatus`	傳回特定多區域存取點的政策狀態，以指出指定的多區域存取點是否具有允許公開存取的存取控制政策時需要。
GetMultiRegionAccessPointRoutes	(必要) `s3:GetMultiRegionAccessPointRoutes`	傳回多區域存取點的路由組態時需要。
PutMultiRegionAccessPointPolicy	(必要) `s3:PutMultiRegionAccessPointPolicy`	更新指定多區域存取點的存取控制政策時需要。
SubmitMultiRegionAccessPointRoutes	(必要) `s3:SubmitMultiRegionAccessPointRoutes`	提交多區域存取點的更新路由組態時需要。

(批次操作) 作業操作是在 job 資源類型上執行的 S3 API 操作。您必須在 IAM 身分型政策中 (而不是在儲存貯體政策中) 指定作業操作的 S3 政策動作。

在政策中，Resource 元素必須是 job ARN。如需 Resource 元素格式和範例政策的詳細資訊，請參閱批次作業操作。

以下是批次作業操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
DeleteJobTagging	(必要) `s3:DeleteJobTagging`	移除現有 S3 Batch Operations 作業的標籤時需要。
DescribeJob	(必要) `s3:DescribeJob`	擷取 Batch Operations 作業的組態參數和狀態時需要。
GetJobTagging	(必要) `s3:GetJobTagging`	傳回現有 S3 Batch Operations 作業的標籤組時需要。
PutJobTagging	(必要) `s3:PutJobTagging`	在現有的 S3 Batch Operations 作業上放置或取代標籤時需要。
UpdateJobPriority	(必要) `s3:UpdateJobPriority`	更新現有作業的優先順序時需要。
UpdateJobStatus	(必要) `s3:UpdateJobStatus`	更新指定作業的狀態時需要。

S3 Storage Lens 組態操作是在 storagelensconfiguration 資源類型上執行的 S3 API 操作。如需如何設定 S3 Storage Lens 組態操作的詳細資訊，請參閱設定 Amazon S3 Storage Lens 許可。

以下是 S3 Storage Lens 組態操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
DeleteStorageLensConfiguration	(必要) `s3:DeleteStorageLensConfiguration`	刪除 S3 Storage Lens 組態時需要。
DeleteStorageLensConfigurationTagging	(必要) `s3:DeleteStorageLensConfigurationTagging`	刪除 S3 Storage Lens 組態標籤時需要。
GetStorageLensConfiguration	(必要) `s3:GetStorageLensConfiguration`	取得 S3 Storage Lens 組態時需要。
GetStorageLensConfigurationTagging	(必要) `s3:GetStorageLensConfigurationTagging`	取得 S3 Storage Lens 組態的標籤時需要。
PutStorageLensConfigurationTagging	(必要) `s3:PutStorageLensConfigurationTagging`	在現有的 S3 Storage Lens 組態上放置或取代標籤時需要。

S3 Storage Lens 群組操作是在 storagelensgroup 資源類型上執行的 S3 API 操作。如需如何設定 S3 Storage Lens 群組的詳細資訊，請參閱Storage Lens 群組許可。

以下是 S3 Storage Lens 群組操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
DeleteStorageLensGroup	(必要) `s3:DeleteStorageLensGroup`	刪除現有的 S3 Storage Lens 群組時需要。
GetStorageLensGroup	(必要) `s3:GetStorageLensGroup`	擷取 S3 Storage Lens 群組組態詳細資訊時需要。
UpdateStorageLensGroup	(必要) `s3:UpdateStorageLensGroup`	更新現有的 S3 Storage Lens 群組時需要。
CreateStorageLensGroup	(必要) `s3:CreateStorageLensGroup`	建立新 Storage Lens 群組時需要。
CreateStorageLensGroup, TagResource	（必要） `s3:CreateStorageLensGroup`、 `s3:TagResource`	建立具有標籤的新 Storage Lens 群組時需要。
ListStorageLensGroups	(必要) `s3:ListStorageLensGroups`	列出您主要區域中的所有 Storage Lens 群組時必填。
ListTagsForResource	(必要) `s3:ListTagsForResource`	列出新增至 Storage Lens 群組的標籤時需要。
TagResource	(必要) `s3:TagResource`	新增或更新現有 Storage Lens 群組的 Storage Lens 群組標籤時需要。
UntagResource	(必要) `s3:UntagResource`	從 Storage Lens 群組刪除標籤時需要。

S3 Access Grants 執行個體操作是在accessgrantsinstance資源類型上執行的 S3 API 操作。S3 Access Grants 執行個體是存取授權的邏輯容器。如需使用 S3 Access Grants 執行個體的詳細資訊，請參閱使用 S3 存取授權執行個體。

以下是 S3 Access Grants 執行個體組態操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
AssociateAccessGrantsIdentityCenter	(必要) `s3:AssociateAccessGrantsIdentityCenter`	將 AWS IAM Identity Center 執行個體與 S3 Access Grants 執行個體建立關聯時需要，因此可讓您為公司身分目錄中的使用者和群組建立存取授權。您還必須擁有下列許可： `sso:CreateApplication`、`sso:PutApplicationGrant` 和 `sso:PutApplicationAuthenticationMethod`。
CreateAccessGrantsInstance	(必要) `s3:CreateAccessGrantsInstance`	需要建立 S3 Access Grants 執行個體 (`accessgrantsinstance` 資源），這是個別存取授權的容器。若要將 AWS IAM Identity Center 執行個體與您的 S3 Access Grants 執行個體建立關聯，您還必須擁有 `sso:DescribeInstance`、`sso:PutApplicationGrant`、 `sso:CreateApplication`和 `sso:PutApplicationAuthenticationMethod`許可。
DeleteAccessGrantsInstance	(必要) `s3:DeleteAccessGrantsInstance`	從您帳戶中 AWS 區域的刪除 S3 Access Grants 執行個體 (`accessgrantsinstance` 資源）時需要。
DeleteAccessGrantsInstanceResourcePolicy	(必要) `s3:DeleteAccessGrantsInstanceResourcePolicy`	刪除 S3 Access Grants 執行個體的資源政策時需要。
DissociateAccessGrantsIdentityCenter	(必要) `s3:DissociateAccessGrantsIdentityCenter`	取消 AWS IAM Identity Center 執行個體與 S3 Access Grants 執行個體的關聯時需要。您還必須擁有下列許可： `sso:DeleteApplication`
GetAccessGrantsInstance	(必要) `s3:GetAccessGrantsInstance`	擷取 AWS 區域您帳戶中的 S3 Access Grants 執行個體時需要。
GetAccessGrantsInstanceForPrefix	(必要) `s3:GetAccessGrantsInstanceForPrefix`	擷取包含特定字首的 S3 Access Grants 執行個體時需要。
GetAccessGrantsInstanceResourcePolicy	(必要) `s3:GetAccessGrantsInstanceResourcePolicy`	需要傳回 S3 Access Grants 執行個體的資源政策。
ListAccessGrantsInstances	(必要) `s3:ListAccessGrantsInstances`	傳回您帳戶中 S3 Access Grants 執行個體的清單時需要。
PutAccessGrantsInstanceResourcePolicy	(必要) `s3:PutAccessGrantsInstanceResourcePolicy`	更新 S3 Access Grants 執行個體的資源政策時需要。

S3 Access Grants 位置操作是對accessgrantslocation資源類型操作的 S3 API 操作。如需使用 S3 Access Grants 位置的詳細資訊，請參閱使用 S3 存取授權位置。

以下是 S3 Access Grants 位置組態操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
CreateAccessGrantsLocation	(必要) `s3:CreateAccessGrantsLocation`	在 S3 Access Grants 執行個體中註冊位置（建立 `accessgrantslocation` 資源）時需要。您還必須具有指定 IAM 角色的下列許可： `iam:PassRole`
DeleteAccessGrantsLocation	(必要) `s3:DeleteAccessGrantsLocation`	從 S3 Access Grants 執行個體中移除註冊位置時需要。
GetAccessGrantsLocation	(必要) `s3:GetAccessGrantsLocation`	擷取在 S3 Access Grants 執行個體中註冊的特定位置詳細資訊時需要。
ListAccessGrantsLocations	(必要) `s3:ListAccessGrantsLocations`	傳回在 S3 Access Grants 執行個體中註冊的位置清單時需要。
UpdateAccessGrantsLocation	(必要) `s3:UpdateAccessGrantsLocation`	更新 S3 Access Grants 執行個體中已註冊位置的 IAM 角色時需要。

S3 Access Grants 授予操作是在accessgrant資源類型上執行的 S3 API 操作。如需使用 S3 Access Grants 處理個別授權的詳細資訊，請參閱在 S3 存取授權中使用授權。

以下是 S3 Access Grants 授予組態操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
CreateAccessGrant	(必要) `s3:CreateAccessGrant`	為 S3 Access Grants 執行個體中的使用者或群組建立個別授權 (`accessgrant` 資源）時需要。您還必須擁有下列許可：對於任何目錄身分 — `sso:DescribeInstance`和 `sso:DescribeApplication` 對於目錄使用者 — `identitystore:DescribeUser`
DeleteAccessGrant	(必要) `s3:DeleteAccessGrant`	從 S3 Access Grants 執行個體中刪除個別存取授權 (`accessgrant` 資源）時需要。
GetAccessGrant	(必要) `s3:GetAccessGrant`	取得 S3 Access Grants 執行個體中個別存取授權的詳細資訊時需要。
ListAccessGrants	(必要) `s3:ListAccessGrants`	傳回 S3 Access Grants 執行個體中個別存取授權的清單時需要。
ListCallerAccessGrants	(必要) `s3:ListCallerAccessGrants`	列出透過 Amazon S3 S3 資料的存取授權時需要。

帳戶操作是在帳戶層級執行的 S3 API 操作。帳戶不是 Amazon S3 定義的資源類型。您必須在 IAM 身分型政策中 (而不是在儲存貯體政策中) 指定帳戶操作的 S3 政策動作。

在政策中，Resource 元素必須是 "*"。如需範例政策的詳細資訊，請參閱帳戶操作。

以下是帳戶操作和必要政策動作的映射。

API 操作	政策動作	政策動作的描述
CreateJob	(必要) `s3:CreateJob`	建立新的 S3 Batch Operations 作業時需要。
CreateStorageLensGroup	(必要) `s3:CreateStorageLensGroup`	建立新 S3 Storage Lens 群組並將其與指定的 AWS 帳戶 ID 建立關聯時需要。
	(條件式必要) `s3:TagResource`	如果您想要使用 AWS 資源標籤建立 S3 Storage Lens 群組，則為必要項目。
DeletePublicAccessBlock (帳戶層級)	(必要) `s3:PutAccountPublicAccessBlock`	從 AWS 帳戶中移除封鎖公開存取組態時需要。
GetAccessPoint	(必要) `s3:GetAccessPoint`	擷取指定存取點的相關組態資訊時需要。
GetAccessPointPolicy (帳戶層級)	(必要) `s3:GetAccountPublicAccessBlock`	擷取 AWS 帳戶的封鎖公開存取組態時需要。
ListAccessPoints	(必要) `s3:ListAccessPoints`	列出 AWS 帳戶擁有的 S3 儲存貯體存取點時需要。
ListAccessPointsForObjectLambda	(必要) `s3:ListAccessPointsForObjectLambda`	列出 Object Lambda 存取點時需要。
ListBuckets	(必要) `s3:ListAllMyBuckets`	傳回已驗證的請求發送者擁有的所有儲存貯體清單時需要。
ListJobs	(必要) `s3:ListJobs`	列出目前作業和最近結束的作業時需要。
ListMultiRegionAccessPoints	(必要) `s3:ListMultiRegionAccessPoints`	傳回目前與指定 AWS 帳戶相關聯的多區域存取點清單時需要。
ListStorageLensConfigurations	(必要) `s3:ListStorageLensConfigurations`	取得的 S3 Storage Lens 組態清單時需要 AWS 帳戶。
ListStorageLensGroups	(必要) `s3:ListStorageLensGroups`	列出指定主要 AWS 區域中的所有 S3 Storage Lens 群組時需要。
PutPublicAccessBlock (帳戶層級)	(必要) `s3:PutAccountPublicAccessBlock`	建立或修改 AWS 帳戶的封鎖公開存取組態時需要。
PutStorageLensConfiguration	(必要) `s3:PutStorageLensConfiguration`	放置 S3 Storage Lens 組態時需要。

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

針對物件操作

政策和許可