文档中心

对象存储

请输入

权限管理

阻止公开访问

阻止公开访问是火山引擎对象存储 TOS 提供的安全防护功能，用于防止存储桶和对象被公开访问。本文介绍桶级阻止公开访问的注意事项及操作步骤等信息。

说明

阻止公开访问功能当前处于邀测阶段。如需使用该功能，请提交工单联系客户经理申请开通。

公开访问的判断

公开访问需要结合桶策略（Policy）和访问控制列表（ACL）综合判断。当桶策略或 ACL 中任一配置授予资源公共访问权限时，资源就可能存在被公共访问的安全风险。建议您根据业务需要开启阻止公开访问功能，以限制公共访问权限生效，降低数据泄露风险。

以下列举了常见授权场景及其是否属于公开访问的判断。

场景	是否公开访问	说明
ACL 授权 AllUsers	是	允许匿名用户及任何访问主体进行访问，属于无差别授权。
ACL 授权 AuthenticatedUsers	是	允许任何已通过身份验证的访问主体访问，授权对象属于不特定主体集合。
桶策略配置 Allow + Principal=* 且无固定边界	是	在存储桶策略中对所有访问主体授权，且未通过条件限定访问范围。
桶策略授权给固定 Account 或固定 User	否	授权对象明确且可枚举，属于定向共享场景。
桶策略配置 Principal=* 且通过固定 VPC、IP 或接入点限制了访问范围	否	通过网络环境或访问入口限定了可信边界，不视为公开访问。
桶策略授权给固定跨账号主体	否	属于定向共享。注意：若同一桶策略中还包含公开授权，启用阻止公开访问后，系统可能会限制该桶策略下的所有跨账号访问，导致固定跨账号授权也无法生效。
预签名 URL 访问	否	访问需持有有效的临时签名凭证，且继承了签名者的身份权限。

注意事项

在使用阻止公开访问功能时，请关注以下事项，以确保业务正常运行，并保障数据安全：

操作阶段	说明
启用前	请确保您的应用在没有公开访问权限的情况下仍能正常运行，避免因权限收紧出现业务访问异常。
启用时	若需在一定级别授予对存储桶或对象公开访问权限，可以在控制台自主勾选阻止公开访问功能下面的各个阻止配置项，以适应特定存储场景。
启用后	系统将根据所选阻止项限制存储桶和对象的公共访问权限。具体效果请参见阻止配置项说明。
关闭后	开启阻止公开访问功能前已存在的公共访问权限会立即恢复生效，这可能导致敏感数据暴露在公网。请在关闭前务必核查已有 ACL 和存储桶策略，避免敏感数据暴露。
其他	目前该功能支持在账号和存储桶维度进行配置，暂不支持为单个对象（Object）配置阻止公开访问。

开启/关闭阻止公开访问

阻止配置项说明

启用阻止所有公开访问后，您可以根据业务需要选择具体的阻止项，限制通过访问控制列表（ACL）或桶策略授予的公开访问权限。账号级配置适用于账号中当前及后续创建的存储桶。

阻止项	作用
阻止通过新建 ACL 向桶和对象授予公开访问权限	TOS 将阻止通过新建或修改 ACL 为所有存储桶和对象授予公开访问权限。已有 ACL 授予存储桶和对象的公开访问权限继续生效。
阻止任何通过 ACL 授予的桶和对象的公开访问	TOS 将忽略所有通过 ACL 向存储桶和对象授予的公开访问权限。
阻止通过新的桶策略向桶和对象授予公开访问权限	TOS 将阻止通过新建或修改桶策略为存储桶和对象授予公开访问权限。已有桶策略授予存储桶和对象的公开访问权限继续生效。
阻止任何通过公开桶策略授予的桶和对象的公开访问和跨账号访问	如果桶策略中包含向存储桶和对象授予的公开访问权限，TOS 将忽略由该策略授予的公开访问和跨账号访问。