文档中心

对象存储

IAM 子用户授权

授予 IAM 用户指定桶上传和下载对象的权限

授予 IAM 用户指定桶上传和下载对象的权限

本文档介绍如何授予当前账号下的 IAM 用户指定桶上传和下载对象的权限。

场景说明

授权账号：当前账号（本文以 210015**** 为例）下的iamuser 用户。

授权资源：bucketname 存储桶。

动作：GetObject 和 PutObject

注意事项

权限配置后略有延迟，如果您配置的权限没有立即生效，建议您稍后重试。

操作步骤

登录对象存储控制台。

在左侧导航栏，单击桶列表。

在顶部导航栏，选择存储桶所属项目。

在桶列表页面，单击目标桶名称。

在左侧导航栏，选择权限管理 > 存储桶授权策略管理。

根据需要选择授权方式。

可视化视图

JSON 视图

单击创建策略。

在创建存储桶授权策略页面，选择自定义策略模板，然后单击下一步。

设置如下参数。

类别	参数	说明
基本配置	策略配置方式	无需手动配置，默认选择可视化视图方式。
基本配置		策略名称	设置策略名称。同一存储桶内，策略名称不允许重名。
效力	效力	选择策略的作用效果，无需手动配置。允许（默认）：说明该策略创建的权限为接受请求。拒绝：说明该策略创建的权限为拒绝请求。
被授权用户	授权用户	无需手动配置，默认选择指定账号。
被授权用户		其他账号	选择当前主账号，然后单击子用户名称后的添加字段，在下拉列表中选择需要授权的子用户名称，本文中以 iamuser 为例。
资源	资源范围	选择桶内对象，表示策略的范围为桶内对象，您可以在桶动作中配置对象相关动作。所有对象：表示策略的范围为桶内所有对象。指定对象：选择指定对象后，需要设置资源路径，可单击添加字段设置多条资源路径。资源路径的填写说明如下：支持中文、英文、数字及常见字符。支持将资源路径指定为整个桶、对象或目录。当您给某个目录授权时，请使用通配符（）结尾，例如 test/。不支持以正斜线（/）或反斜线（\）开头，不支持使用连续的正斜线（/）。不支持使用 .. 作为目录名称。
动作	通用动作	可以不配置。也可以根据您的需求选择需要授权的动作，详细动作说明，请参见桶策略支持的动作。
		可以不配置。也可以根据您的需求选择需要授权的动作，详细动作说明，请参见桶策略支持的动作。	桶动作
		对象动作	选择 GetObject 和 PutObject。也可以根据您的需求选择需要授权的动作，详细动作说明，请参见对象动作。
		操作策略	无需手动配置，默认选择包含以上动作，表示允许用户拥有执行指定动作的权限。
条件（可选）	-	可以不配置。也可以单击添加字段图标，设置您所需要的条件及值。关于条件的参数说明，请参见条件说明。

设置完成后，单击下一步。

确认策略无误后，单击确定，完成策略的创建。

授权策略创建完成后，您可以在策略管理列表查看已创建的策略。

相关操作

根据本文授权后，可以使用 API 或 SDK 完成上传或下载对象的操作，

控制台：如果要在控制台上传或下载对象，还需要通过 IAM 策略授予用户列举桶（ListBuckets）、列举桶内对象（ListBucket）、判断桶是否存在（HeadBucket）的权限。

TOS Browser：如果要在 TOS Browser 工具上传或下载对象，则还需要通过 IAM 策略授予用户列举桶内对象（ListBucket）的权限。

关于 IAM 策略支持的 Action 说明，请参见 IAM 策略支持动作。

说明

完成所有授权后，在控制台进行上传或下载对象操作时，由于没有其他接口的权限，控制台可能会报错 Request failed with status code 403 和权限不足，这些报错并不会影响已有权限，您可以忽略这些报错。

最近更新时间：2026.07.10 17:31:53

这个页面对您有帮助吗？

有用

有用

无用

无用