非资源 Owner 指该用户既不是存储桶所有者，也不是文件的所有者，但是您可以通过授权使得该用户拥有文件的下载等权限。本文介绍如何实现非资源 Owner 的授权。 ## 场景说明本教程以 aaa、bbb、ccc 用户为例，假设背景和实现目标如下： * 背景： aaa 用户是 test 存储桶的所有者，bbb 用户拥有向 test 存储桶上传对象权限，ccc 用户没有任何权限。 * 实现目标：授权给 ccc 用户后，使得 ccc 用户拥有 bbb 用户上传到 test 桶的对象的下载权限。 ## 操作流程 1. bbb 用户向 test 存储桶的 `data` 目录上传 `sample.txt` 对象时设置文件权限为 bucket\-owner\-full\-control，使得 aaa 用户拥有该文件的全部权限。 2. aaa 用户使用桶策略授权给 ccc 用户 test 存储桶下 `data` 目录的 GetObject 权限，使得 ccc 用户拥有下载 `sample.txt` 对象的权限。桶策略授权的详细说明，请参见[桶策略概述](https://www.volcengine.com/docs/6349/102126)。 ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/71f76e1048cf451da7748916efe8e453~tplv-goo7wpa0wc-image.image) ## 前提条件 * 已创建存储桶，具体操作，请参见[创建存储桶](https://www.volcengine.com/docs/6349/75024)。 * 已授予 bbb 用户指定存储桶上传对象的权限，具体操作，请参见[授予 IAM 用户指定桶上传和下载对象的权限](https://www.volcengine.com/docs/6349/1183384)。 * 已下载并安装 tosutil 工具。具体操作，请参见[下载与安装](https://www.volcengine.com/docs/6349/152742)。 ## 步骤一：上传对象 1. 执行以下命令，初始化配置 tosutil 工具。 ```JSON ./tosutil config -i -k -e -re ``` |**参数** |**说明** | |---|---| |access key |bbb 用户的 Access Key ID。

查看 AK/SK 信息的具体步骤，请参见[查看 AK/SK 信息](https://www.volcengine.com/docs/6291/65568)。 | |secret key |bbb 用户的 Secret Access Key。 | |endpoint |TOS 对外访问域名。 | |region |test 存储桶所在地域。

TOS 支持的地域信息，请参见[访问域名 Endpoint](https://www.volcengine.com/docs/6349/107356)。 | 2. 执行以下命令，上传 `sample.txt` 文件，并设置文件的访问权限为 bucket\-owner\-full\-control。 ```JSON ./tosutil cp file1_url tos://bucket[/prefix] -acl=bucket-owner-full-control ``` 示例： ```JSON ./tosutil cp sample.txt tos://test/data/sample.txt -acl=bucket-owner-full-control ``` |**参数** |**说明** | |---|---| |file_url |本地文件路径。如果要上传多个文件，可在命令中添加多个 `file_url`，以英文逗号（,）分隔。

说明

您也可以使用 tosutil 上传文件夹或文件列表，具体操作，请参见上传对象（cp）。

| |bucket |存储桶名称。 | |prefix |批量操作时的对象名前缀。 | |\-acl |上传或复制对象时可指定的预定义访问策略。支持的值如下：

* `private`：私有

* `public-read`：公共读

* `public-read-write`：公共读写

* `authenticated-read`：认证用户读

* `bucket-owner-read`：桶所有者读

* `bucket-owner-full-control`：桶所有者完全权限

* `bucket-owner-entrusted`：受桶策略控制，桶所有者完全权限 | ## 步骤二：授予 ccc 用户对象的下载权限 1. 登录[对象存储控制台](https://console.volcengine.com/tos)。 2. 在左侧导航栏，单击**桶列表**，在**桶列表**页面单击目标桶名称。 3. 在左侧导航栏，选择**权限管理** \> **存储桶授权策略管理**。 4. 单击**创建策略。** 5. 在**创建存储桶授权策略**页面，选择**自定义策略**模板，然后单击**下一步**。 6. 设置如下参数。 |类别 |参数 |说明 | |---|---|---| |基本配置 |策略配置方式 |无需手动配置，默认选择**可视化视图**方式。 | ||策略名称 |设置策略名称。同一存储桶内，策略名称不允许重名。 | |效力 |效力 |选择策略的作用效果，无需手动配置。

* **允许（默认）** ：说明该策略创建的权限为接受请求。

* **拒绝**：说明该策略创建的权限为拒绝请求。 | |被授权用户 |授权用户 |无需手动配置，默认选择**指定账号**。 | ||其他账号 |选择**当前主账号**，然后单击**子用户名称**后的**添加字段**，在下拉列表中选择 ccc 用户。 | |资源 |资源范围 |选择**桶内对象**，默认**指定对象**，单击**添加字段**，输入 `data/*`。 | |动作 |通用动作 |可以不配置。也可以根据您的需求选择需要授权的动作，详细动作说明，请参见[桶策略支持的动作](https://www.volcengine.com/docs/6349/102127?lang=zh#3817a80f)。 | ||桶动作 || ||对象动作 |选择 **GetObject。** 也可以根据您的需求选择需要授权的动作，详细动作说明，请参见[对象动作](https://www.volcengine.com/docs/6349/102127?lang=zh#0a4462f0)。 | ||操作策略 |无需手动配置，默认选择**包含以上动作**，表示允许用户拥有执行指定动作的权限。 | |条件（可选） |\- |可以不配置。也可以单击**添加字段**图标，设置您所需要的条件及值。

关于条件的参数说明，请参见[条件说明](https://www.volcengine.com/docs/6349/102127?lang=zh&_vtm_=a106466.b106468.0_0.0_0.0.3177_7644763591774570022#eaa7b0fa)。 | 7. 设置完成后，单击**下一步**。 8. 确认策略无误后，单击**确定**，完成策略的创建。 ## 步骤三：下载对象 ccc 用户可以调用 GetObject 接口获取 `sample.txt` 文件。关于 GetObject 接口的详细介绍，请参见[GetObject](https://www.volcengine.com/docs/6349/74856)。