如何公開 Amazon S3 儲存貯體

1. 在 S3 主控台開啟儲存貯體，前往 Permissions 分頁。
2. 在 Block public access (bucket settings) 下選擇 Edit。
3. 取消勾選與 bucket and access point policies 有關的兩項設定。兩項 ACL 設定可以保持開啟，因為政策不會用到 ACL。
4. 儲存並確認。

如果帳戶層級也開啟了這項設定（S3 側邊欄中的 Block Public Access settings for this account），它的優先順序高於儲存貯體設定，同樣必須允許政策。

同樣在 Permissions 中，編輯 Bucket policy，貼上以下內容並換成你的儲存貯體名稱：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PublicRead",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::your-bucket/*"
    }
  ]
}

這只允許讀取物件，不允許列出儲存貯體內容。如果只想公開一個資料夾，請縮小資源範圍，例如 arn:aws:s3:::your-bucket/public/*。

用 AWS CLI 的話，同樣的兩個步驟是：

aws s3api put-public-access-block --bucket your-bucket \
  --public-access-block-configuration \
  BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=false,RestrictPublicBuckets=false

aws s3api put-bucket-policy --bucket your-bucket --policy file://policy.json

現在可以透過虛擬主機樣式的 URL 存取物件：

https://your-bucket.s3.eu-central-1.amazonaws.com/2026/09/report.pdf

請換成你儲存貯體所在的區域。如果這個位址傳回 AccessDenied，代表 Block Public Access 設定仍在封鎖政策，或是政策中的儲存貯體名稱打錯了。

如果你不想開放儲存貯體本身，可以保持 Block Public Access 開啟，並建立一個以該儲存貯體為來源、使用 Origin access control (OAC) 的 CloudFront 分佈。CloudFront 會提供一條只讓該分佈讀取物件的儲存貯體政策。這樣你就能在自己的網域上使用 HTTPS 和快取，儲存貯體也能維持私人。請參考為儲存貯體連結設定自訂網域。