So machst du einen Amazon-S3-Bucket öffentlich

1. Öffne den Bucket in der S3-Konsole und geh zum Tab Permissions.
2. Wähle unter Block public access (bucket settings) die Option Edit.
3. Deaktiviere die beiden Einstellungen zu bucket and access point policies. Die beiden ACL-Einstellungen kannst du aktiviert lassen, denn die Policy nutzt keine ACLs.
4. Speichern und bestätigen.

Ist die Einstellung auch auf Kontoebene aktiv (Block Public Access settings for this account in der S3-Seitenleiste), hat sie Vorrang vor der Bucket-Einstellung und muss Policies ebenfalls zulassen.

Bearbeite, weiterhin unter Permissions, die Bucket policy und füge Folgendes mit deinem Bucket-Namen ein:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PublicRead",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::your-bucket/*"
    }
  ]
}

Damit lassen sich Objekte lesen, der Bucket aber nicht auflisten. Um nur einen Ordner öffentlich zu machen, schränkst du die Ressource ein, zum Beispiel auf arn:aws:s3:::your-bucket/public/*.

Mit der AWS CLI sehen dieselben zwei Schritte so aus:

aws s3api put-public-access-block --bucket your-bucket \
  --public-access-block-configuration \
  BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=false,RestrictPublicBuckets=false

aws s3api put-bucket-policy --bucket your-bucket --policy file://policy.json

Objekte sind jetzt unter der Virtual-Hosted-URL erreichbar:

https://your-bucket.s3.eu-central-1.amazonaws.com/2026/09/report.pdf

Verwende die Region deines Buckets. Wenn diese Adresse AccessDenied liefert, blockieren die Block-Public-Access-Einstellungen die Policy noch, oder der Bucket-Name in der Policy enthält einen Tippfehler.

Wenn du den Bucket selbst lieber nicht öffnen willst, lass Block Public Access aktiviert und erstelle eine CloudFront-Distribution mit dem Bucket als Origin und Origin access control (OAC). CloudFront zeigt dir die Bucket-Policy an, mit der nur die Distribution Objekte lesen darf. So bekommst du HTTPS auf deiner eigenen Domain, Caching und einen Bucket, der privat bleibt. Siehe eigene Domains für Bucket-Links.