Cách công khai bucket Amazon S3

1. Mở bucket trong S3 console và vào tab Permissions.
2. Trong Block public access (bucket settings), chọn Edit.
3. Bỏ chọn hai thiết lập liên quan đến bucket and access point policies. Bạn có thể để nguyên hai thiết lập ACL, vì policy không dùng ACL.
4. Lưu và xác nhận.

Nếu thiết lập này cũng được bật ở cấp tài khoản (Block Public Access settings for this account trong thanh bên S3), nó sẽ được ưu tiên hơn thiết lập của bucket và cũng phải cho phép policy.

Vẫn ở Permissions, sửa Bucket policy và dán nội dung sau, với tên bucket của bạn:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PublicRead",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::your-bucket/*"
    }
  ]
}

Policy này cho phép đọc đối tượng, không cho phép liệt kê bucket. Để chỉ công khai một thư mục, hãy thu hẹp resource, ví dụ arn:aws:s3:::your-bucket/public/*.

Với AWS CLI, hai bước trên như sau:

aws s3api put-public-access-block --bucket your-bucket \
  --public-access-block-configuration \
  BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=false,RestrictPublicBuckets=false

aws s3api put-bucket-policy --bucket your-bucket --policy file://policy.json

Giờ đối tượng có thể truy cập qua URL dạng virtual-hosted:

https://your-bucket.s3.eu-central-1.amazonaws.com/2026/09/report.pdf

Dùng vùng của bucket bạn. Nếu địa chỉ này trả về AccessDenied, thì thiết lập Block Public Access vẫn đang chặn policy, hoặc tên bucket trong policy bị gõ sai.

Nếu không muốn mở chính bucket, hãy giữ Block Public Access bật và tạo một CloudFront distribution với bucket làm origin và Origin access control (OAC). CloudFront sẽ hiển thị bucket policy chỉ cho phép distribution đó đọc đối tượng. Bạn có HTTPS trên tên miền của riêng mình, bộ nhớ đệm, và bucket vẫn riêng tư. Xem tên miền riêng cho liên kết bucket.