本文档介绍如何授予当前账号下的 IAM 用户指定桶上传和下载对象的权限。 ## 场景说明 * 授权账号：当前账号（本文以 `210015****` 为例）下的`iamuser` 用户。 * 授权资源：`bucketname` 存储桶。 * 动作：GetObject 和 PutObject ## 注意事项权限配置后略有延迟，如果您配置的权限没有立即生效，建议您稍后重试。 ## 操作步骤 1. 登录[对象存储控制台](https://console.volcengine.com/tos)。 2. 在左侧导航栏，单击**桶列表。** 3. 在顶部导航栏，选择存储桶所属项目。 4. 在**桶列表**页面，单击目标桶名称。 5. 在左侧导航栏，选择**权限管理** \> **存储桶授权策略管理**。 6. 根据需要选择授权方式。可视化视图 1. 单击**创建策略。** 2. 在**创建存储桶授权策略**页面，选择**自定义策略**模板，然后单击**下一步**。 3. 设置如下参数。 |类别 |参数 |说明 | |---|---|---| |基本配置 |策略配置方式 |无需手动配置，默认选择**可视化视图**方式。 | ||策略名称 |设置策略名称。同一存储桶内，策略名称不允许重名。 | |效力 |效力 |选择策略的作用效果，无需手动配置。

* **允许（默认）** ：说明该策略创建的权限为接受请求。

* **拒绝**：说明该策略创建的权限为拒绝请求。 | |被授权用户 |授权用户 |无需手动配置，默认选择**指定账号**。 | ||其他账号 |选择**当前主账号**，然后单击**子用户名称**后的**添加字段**，在下拉列表中选择需要授权的**子用户名称**，本文中以 `iamuser` 为例。 | |资源 |资源范围 |选择**桶内对象，** 表示策略的范围为桶内对象，您可以在**桶动作**中配置对象相关动作。

* **所有对象**：表示策略的范围为桶内所有对象。

* **指定对象**：选择**指定对象**后，需要设置**资源路径**，可单击**添加字段**设置多条资源路径。资源路径的填写说明如下：

* 支持中文、英文、数字及常见字符。

* 支持将资源路径指定为整个桶、对象或目录。当您给某个目录授权时，请使用通配符（\*）结尾，例如 test/\*。

* 不支持以正斜线（/）或反斜线（\）开头，不支持使用连续的正斜线（/）。

* 不支持使用 .. 作为目录名称。 | |动作 |通用动作 |可以不配置。也可以根据您的需求选择需要授权的动作，详细动作说明，请参见[桶策略支持的动作](https://www.volcengine.com/docs/6349/102127?lang=zh#3817a80f)。 | ||桶动作 || ||对象动作 |选择 **GetObject** 和 **PutObject。** 也可以根据您的需求选择需要授权的动作，详细动作说明，请参见[对象动作](https://www.volcengine.com/docs/6349/102127?lang=zh#0a4462f0)。 | ||操作策略 |无需手动配置，默认选择**包含以上动作**，表示允许用户拥有执行指定动作的权限。 | |条件（可选） |\- |可以不配置。也可以单击**添加字段**图标，设置您所需要的条件及值。

关于条件的参数说明，请参见[条件说明](https://www.volcengine.com/docs/6349/102127?lang=zh&_vtm_=a106466.b106468.0_0.0_0.0.3177_7644763591774570022#eaa7b0fa)。 | 4. 设置完成后，单击**下一步**。 5. 确认策略无误后，单击**确定**，完成策略的创建。授权策略创建完成后，您可以在策略管理列表查看已创建的策略。 JSON 视图单击 **JSON视图**，单击**编辑**，将以下内容复制到文本框中，单击**确定**。 ```Java { "Statement": [ { "Sid": "自定义策略-d092", "Effect": "Allow", "Principal": [ "210015****/iamuser" ], "Action": [ "tos:GetObject", "tos:PutObject" ], "Resource": "trn:tos:::bucketname/*" } ] } ``` ## 相关操作根据本文授权后，可以使用 API 或 SDK 完成上传或下载对象的操作， * 控制台：如果要在控制台上传或下载对象，还需要通过 IAM 策略授予用户列举桶（ListBuckets）、列举桶内对象（ListBucket）、判断桶是否存在（HeadBucket）的权限。 * TOS Browser：如果要在 TOS Browser 工具上传或下载对象，则还需要通过 IAM 策略授予用户列举桶内对象（ListBucket）的权限。关于 IAM 策略支持的 Action 说明，请参见 [IAM 策略支持动作](https://www.volcengine.com/docs/6349/102131#.aWFtLeetlueVpeaUr-aMgeWKqOS9nA==)。

说明

完成所有授权后，在控制台进行上传或下载对象操作时，由于没有其他接口的权限，控制台可能会报错 Request failed with status code 403 和 权限不足，这些报错并不会影响已有权限，您可以忽略这些报错。