设置桶策略

Bucket是用于存储对象（Object）的容器，所有的对象都必须隶属于某个Bucket。本文介绍如何设置桶（Bucket）策略。

桶策略（bukcet policy）可以灵活地配置用户各种操作和访问资源的权限。访问控制列表（access control lists，ACL）只能对单一对象设置权限，而桶策略可以基于各种条件对一个桶内的全部或者一组对象配置权限。桶的拥有者拥有PutBucketPolicy操作的权限，如果同已经被设置了policy，则新的policy会覆盖原有的policy。

PutBucketPolicy

PutBucketPolicy操作可以设置桶策略，描述桶策略的信息以JSON格式的字符串形式通过Policy参数传入。一个policy的示例如下：

{
    "Id": "PolicyId",
    "Version": "2012-10-17",
    "Statement" : [{
        "Sid": "ExampleStatementID1",
        "Principal": [
            "arn:aws:iam:::user/userId",
            "arn:aws:iam:::user/userName"
        ],
        "Effect": "Allow",   
        "Action": [
            "s3:ListBucket",
            "s3:CreateBucket"
        ],
        "Resource": [
                "arn:aws:s3:::exampleBucket"
        ],
        "Condition": "some conditions"
    },
    ......
    ]
}

Statement的内容说明如下：

元素	描述	是否必要
Sid	statement Id，可选关键字，描述statement的字符串。	否
Principal	可选关键字，被授权人，指定本条statement权限针对的Domain以及User，支持通配符“”，表示所有用户（匿名用户）。当对Domain下所有用户授权时，Principal格式为arn:aws:iam:::user/。当对某个User进行授权时，Principal格式为arn:aws:iam:::user/userId或者arn:aws:iam:::user/userName。	可选，Principal与NotPrincipal选其一
NotPrincipal	可选关键字，不被授权人，statement匹配除此之外的其他人。取值同Principal。	可选，NotPrincipal与Principal选其一
Action	可选关键字，指定本条statement作用的操作，Action字段为媒体存储支持的所有操作集合，以字符串形式表示，不区分大小写。支持通配符“”，表示该资源能进行的所有操作。例如：“Action”:[“List”, “Get*"]。	可选，Action与NotAction选其一
NotAction	可选关键字，指定一组操作，statement匹配除该组操作之外的其他操作。取值同Action。	可选，NotAction与Action选其一
Effect	必选关键字，效果，指定本条statement的权限是允许还是拒绝，Effect的值必须为Allow或者Deny。	必选
Resource	可选关键字，指定statement起作用的一组资源，支持通配符“*”，表示所有资源。	可选，Resource与NotResource选其一
NotResource	可选关键字，指定一组资源，statement匹配除该组资源之外的其他资源。取值同Resource。	可选，NotResource与Resource选其一
Condition	可选关键字，本条statement生效的条件。	可选

代码示例：

// 设置桶策略
func PutBucketPolicy(svc *s3.S3) {
    putBucketPolicyInput := &s3.PutBucketPolicyInput{
        Bucket: aws.String("exampleBucket"),
        Policy: aws.String("examplePolicy"),
    }
    _, err := svc.PutBucketPolicy(putBucketPolicyInput)
    if err != nil {
        fmt.Printf("fail to put bucket policy. %v\n", err)
    }
}

PutBucketPolicyInput可以设置的参数如下：

参数	类型	说明	是否必要
Bucket	*string	桶的名称。	是
Policy	*string	JSON格式的桶策略信息。	是

PutBucketPolicyRequest

PutBucketPolicyRequest操作首先生成一个"request.Request"对象，该对象是一个执行PutBucketPolicy操作的请求。通过调用Request对象的Send方法完成设置桶策略的操作。该方法可以生成定制化的请求，例如自定义请求头部请求超时重试设置。

代码示例：

func PutBucketPolicyRequest(svc *s3.S3) {
    putBucketPolicyInput := &s3.PutBucketPolicyInput{
        Bucket: aws.String("exampleBucket"),
        Policy: aws.String("examplePolicy"),
    }
    req, resp := svc.PutBucketPolicyRequest(putBucketPolicyInput)

    err := req.Send()
    if err != nil {
        fmt.Printf("fail to put bucket policy. %v\n", err)
    } else {
        fmt.Println(resp)
    }
}

响应结果：

HTTP状态	响应码	描述
200	Success	操作成功。
400	InvalidArgument	参数错误。
403	AccessDenied	用户没有权限执行操作。
404	NoSuchBucket	操作指定的桶不存在。