对象存储
对象存储
对象存储
文档指南
请输入
产品动态
产品公告
产品计费
快速入门
用户指南
存储桶管理
基础设置
容错与容灾
ObjectSet
文件管理
监控与告警
权限配置
IAM 策略管理
典型配置场景
IAM 子用户授权
使用工具及 SDK 的授权说明
接入点
单区域接入点（SRAP）
内容感知与处理（SenseFlow）
TOS Agent
数据处理
分层命名空间（HNS）
TOS Vectors
API 参考
向量桶
SDK 参考
Python-Vectors
向量桶
向量索引
Java-Vectors
向量桶
向量索引
Node.js-Vectors
向量桶
向量索引
工具指南
tosutil
常用命令
辅助命令
TOS Browser
FSX
TOS PyTorch Connector
tosfsspec
API 参考
签名机制
存储桶
桶基础操作
自定义域名
数据处理
媒体处理
视频转码
音频转码
ObjectSet
生命周期
对象
基础操作
分片上传
SDK 参考
Java
存储桶接口
管理桶配置
ObjectSet
对象接口
下载对象
数据处理
视频处理
日志配置
分层命名空间
Python
数据处理
存储桶接口
对象接口
上传对象
C++
存储桶接口
对象接口
Go
对象接口
存储桶接口
管理桶配置
ObjectSet
数据处理
日志配置
Node.js
存储桶接口
对象接口
上传对象
数据处理
Browser.js
上传对象
.NET
对象接口
PHP
对象接口
异常处理
Android
对象接口
iOS
对象接口
Harmony
存储桶接口
对象接口
上传对象
Rust
存储桶接口
桶基础操作
桶清单
自定义域名
对象接口
基础操作
错误码
01-SERVICE_ERROR
02-AUTH
03-ACCESS_CONTROL
04-QOS
05-REQUEST
06-BUCKET
07-LIFECYCLE
08-ACL
09-CORS
10-POLICY
11-MIRROR
12-REPLICATION
13-WEBSITE
14-NOTIFICATION
15-ENCRYPT
16-CUSTOMDOMAIN
17-OBJECT
18-TAG
19-MULTIPART
20-STORAGE_CLASS
21-CALLBACK
22-DATA_PROCESS
23-BATCH
24-STORAGE_LENS
25-INVENTORY
26-DIRECTORY_BUCKET
32-WORM
常见问题
最佳实践
AIGC-豆包大模型最佳实践
校验数据一致性
- 文档首页
对象存储错误码15-ENCRYPT0015-00000027
复制全文
下载 pdf0015-00000027
文档反馈
问问助手问题描述
调用下载或访问对象相关接口（如通过 API、SDK 或 tosutil 工具）时请求失败。
问题原因
目标对象采用了 KMS 方式进行服务端加密保护。在发起下载或读取请求时，当前使用的身份凭证（IAM 用户或角色）未被授予该 KMS 密钥的解密权限（即缺失 kms:Decrypt Action），导致服务端拒绝了数据访问请求。
问题示例
您发起如下请求：
GET /abc HTTP/1.1
Host: bucketname.tos-cn-beijing.volces.com
Date: GMT Date
Authorization: authorization xxx
由于对象 abc 采用了 KMS 加密，您没有该 KMS 密钥的解密权限，导致请求报错。
解决方案
当访问目标为 KMS 加密对象时，请为当前发起请求的 IAM 身份补充相应的 KMS 解密权限。具体步骤如下：
- 确认请求身份：排查发生报错的工具配置或业务代码，确认当前发起请求所使用的 AccessKey 对应的 IAM 用户或角色。
- 配置 IAM 策略：登录访问控制（IAM）控制台，为该身份添加或修改权限策略，确保其 Action 列表中包含 kms:Decrypt 权限。
说明
基于最小权限安全原则，建议将 Resource 字段中的通配符* 替换为实际加密该对象所使用的 KMS 密钥的具体 TRN 路径。权限策略配置完成并生效后，重新发起下载或访问请求即可。
最近更新时间：2026.09.20 16:16:54
这个页面对您有帮助吗？
有用
有用
无用
无用