文档中心

对象存储

请输入

典型配置场景

跨账号复制的权限配置

本文介绍配置跨账号复制权限的操作步骤。

权限说明

在创建跨账号同区域复制和跨账号跨区域复制规则前，您需要授予 TOS 源桶读权限和目标桶的写权限。完成授权后，TOS 会自动创建 ServiceRoleforReplicationAccessTOS 角色，并通过该角色执行跨账号复制规则，将源桶的文件复制到目标桶。

在源桶授予 TOS 读权限

如果在跨区域复制或同区域复制页面显示您已授权TOS对象存储服务向您的存储桶中读写文件，说明您已完成源桶读权限的授权，无需执行以下操作。

注意

如果您的存储桶配置了 SSE-KMS 加密规则，您还需要授予 TOS 访问 KMS 服务的权限，否则将无法执行跨账号复制规则。您可以在跨区域复制或同区域复制页面，KMS 授权处单击点击授权，在弹出的对话框中单击确定，完成 KMS 服务授权。

在授予 TOS 源桶读权限时，如果跨区域复制或同区域复制页面显示暂无权限，则您需要先授予账号 iam:ListAttachedRolePolicies、iam:CreateRole、iam:AttachRolePolicy 权限，使得账号具有创建 ServiceRoleforReplicationAccessTOS 角色的权限，具体操作，请参见配置 IAM 策略。

在目标桶授予 TOS 写权限

您需要授予 ServiceRoleforReplicationAccessTOS 角色目标桶的写权限，使得 TOS 可以通过该角色拥有目标桶写权限。

可视化视图

JSON 视图

类别	参数	说明
基本配置	策略配置方式	无需手动配置，默认选择可视化视图方式。
基本配置		策略名称	设置策略名称。同一存储桶内，策略名称不允许重名。
效力	效力	选择策略的作用效果，无需手动配置。允许（默认）：说明该策略创建的权限为接受请求。拒绝：说明该策略创建的权限为拒绝请求。
被授权用户	授权用户	选择指定账号。
	其他账号	选择其他主账号，输入源桶所属主账号 ID。说明本文根据账号 ID 和 rolename 判断权限，即使您源桶由子账号创建，授权时，您也只需要填写子账号所属的主账号ID，无需填写子用户名称。
资源	资源范围	勾选当前桶、桶内对象，选择所有对象。
动作	通用动作	无需配置。
		桶动作	选择 ListBucket、HeadBucket、GetBucketVersioning、ListBucketVersions、ListBucketMultipartUploads、GetBucketObjectLockConfiguration。
		对象动作	选择 GetObject、PutObject、GetObjectAcl、PutObjectAcl、GetObjectVersion、AbortMultipartUpload、ListMultipartUploadParts。
		操作策略	无需手动配置，默认选择包含以上动作，表示允许用户拥有执行指定动作的权限。
条件（可选）	-	单击添加字段图标，设置如下参数。键：rolename。条件运算符：等于。值： ServiceRoleforReplicationAccessTOS。

最近更新时间：2026.08.14 11:14:12

这个页面对您有帮助吗？

有用

无用