文档中心

对象存储

请输入

跨账号授权

授予其他账号下的 IAM 用户桶和桶内资源的访问权限

本文介绍如何授予其他账号下的 IAM 用户访问桶和桶内资源的权限。

场景说明

授权账号：其他账号（本文以 210000**** 为例）下的 user 用户。

授权资源：bucketname1 存储桶。

动作：GetObject、PutObject、ListBucket、ListBucketVersions、HeadBucket。

推荐配置方法

授予其他账号下的 IAM 用户访问桶和桶内资源的权限时，您需要进行双向授权。

桶所属账号需要配置桶策略允许其他账号下的 IAM 用户访问桶和桶内资源。

其他账号也需要配置 IAM 策略允许其下的 IAM 用户访问桶和桶内资源。

例如允许账号 B 下的 IAM 用户 B1 访问账号 A 的 C 桶，则您需要执行以下步骤：

账号 A 配置桶策略允许 IAM 用户 B1 访问 C 桶。

账号 B 配置 IAM 策略允许其下的 IAM 用户 B1 访问 C 桶。

注意事项

权限配置后略有延迟，如果您配置的权限没有立即生效，建议您稍后重试。

步骤一：桶所属账号配置桶策略

桶所属账号配置桶策略，允许其他账号（210000****）下的 user 用户对 bucketname1 桶执行 GetObject、PutObject、ListBucket、ListBucketVersions、HeadBucket 操作。

登录对象存储控制台。

在左侧导航栏，单击桶列表，在桶列表页面单击目标桶名称。

在左侧导航栏，选择权限管理 > 存储桶授权策略管理。

根据需要选择授权方式。

可视化视图

JSON 视图

单击创建策略。

在创建存储桶授权策略页面，选择自定义策略模板，然后单击下一步。

设置如下参数。

类别	参数	说明
基本配置	策略配置方式	无需手动配置，默认选择可视化视图方式。
基本配置		策略名称	设置策略名称。同一存储桶内，策略名称不允许重名。
效力	效力	选择策略的作用效果，无需手动配置。允许（默认）：说明该策略创建的权限为接受请求。拒绝：说明该策略创建的权限为拒绝请求。
被授权用户	授权用户	无需手动配置，默认选择指定账号。
被授权用户		其他账号	默认其他主账号，输入其他主账号 ID，单击子用户名称右边的添加字段，输入子用户名称，本文中以 user 为例。
资源	资源范围	选择当前桶、桶内对象、桶内对象的所有对象。
动作	通用动作	可以不配置。也可以根据您的需求选择授权动作，详细动作说明，请参见通用动作。
		桶动作	选择 ListBucket、HeadBucket 和 ListBucketVersions。也可以根据您的需求选择授权动作，详细动作说明，请参见桶动作。
		对象动作	选择 GetObject、PutObject。也可以根据您的需求选择授权动作，详细动作说明，请参见对象动作。
		操作策略	无需手动配置，默认选择包含以上动作，表示允许用户拥有执行指定动作的权限。
条件（可选）	-	可以不配置。也可以单击添加字段图标，设置您所需要的条件及值。关于条件的参数说明，请参见条件说明。

设置完成后，单击下一步。

确认策略无误后，单击确定，完成策略的创建。

授权策略创建完成后，您可以在策略管理列表查看已创建的策略。

步骤二：其他主账号配置 IAM 策略

其他主账号（210000****）配置 IAM 策略，允许 user 用户对 bucketname1 桶执行 GetObject、PutObject、ListBucket、ListBucketVersions、HeadBucket 操作。

在左侧导航栏中，单击权限策略。

在权限策略页面，单击新建自定义策略。

在新建自定义策略页面

设置如下参数。

参数
说明
策略名
输入支持英文大小写、数字、+=,.@-_。最长不超过64个字符。
备注
输入英文、数字、特殊字符均可，最长不超过128个字符。

单击JSON编辑器页签，将以下策略复制到文本框中，根据实际情况修改 Resource ，单击提交。

{
"Statement": [
{
"Effect": "Allow",
"Action": [
"tos:GetObject",
"tos:PutObject",
"tos:ListBucket",
"tos:ListBucketVersions",
"tos:HeadBucket"
],
"Resource": [
"trn:tos:::bucketname1",
"trn:tos:::bucketname1/*"
]
}
]
}

单击添加权限进行授权。

也可以在权限策略页面，选择策略类型为自定义策略，找到自定义策略的名称，单击操作列的授权进行授权。

在添加权限页面选择是否限制到项目资源，在授权身份的用户页签下，选择 IAM 用户的名称，本文选择 user，单击提交即可完成授权。

授权完成后单击完成即可查看策略信息。

后续操作

按照本文完成授权后，其他账号下 IAM 用户可以通过以下方式对授权桶执行上传对象、下载对象等操作。

使用 API 或 SDK 对授权桶执行上传对象、下载对象等操作。

在 TOS Browser 通过访问路径进入到授权桶，执行上传对象、下载对象等操作。

使用 tosutil 对授权桶执行上传对象、下载对象等操作。

注意

TOS 不支持跨账号列举桶，按照本文完成授权后，其他账号下 IAM 用户不支持在控制台对授权桶执行上传对象、下载对象等操作。

最近更新时间：2026.07.10 17:31:18

这个页面对您有帮助吗？

有用

无用

参数	说明
策略名	输入支持英文大小写、数字、+=,.@-_。最长不超过64个字符。
备注	输入英文、数字、特殊字符均可，最长不超过128个字符。