如何公开 Amazon S3 存储桶

1. 在 S3 控制台中打开存储桶，进入 Permissions 选项卡。
2. 在 Block public access (bucket settings) 下选择 Edit。
3. 取消勾选与 bucket and access point policies 相关的两项设置。两项 ACL 设置可以保持开启，因为该策略不使用 ACL。
4. 保存并确认。

如果账号级别也开启了该设置（S3 侧边栏中的 Block Public Access settings for this account），它的优先级高于存储桶设置，也必须允许策略。

仍在 Permissions 中，编辑 Bucket policy，粘贴以下内容，并替换为你的存储桶名称：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PublicRead",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::your-bucket/*"
    }
  ]
}

该策略允许读取对象，但不允许列出存储桶。如果只想公开一个文件夹，请缩小资源范围，例如 arn:aws:s3:::your-bucket/public/*。

使用 AWS CLI 完成同样的两步：

aws s3api put-public-access-block --bucket your-bucket \
  --public-access-block-configuration \
  BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=false,RestrictPublicBuckets=false

aws s3api put-bucket-policy --bucket your-bucket --policy file://policy.json

现在可以通过虚拟主机式 URL 访问对象：

https://your-bucket.s3.eu-central-1.amazonaws.com/2026/09/report.pdf

请使用你的存储桶所在的区域。如果该地址返回 AccessDenied，说明 Block Public Access 设置仍在阻止该策略，或者策略中的存储桶名称有拼写错误。

如果你不想开放存储桶本身，可以保持 Block Public Access 开启，创建一个以该存储桶为源站并使用 Origin access control (OAC) 的 CloudFront 分配。CloudFront 会给出一条只允许该分配读取对象的存储桶策略。这样你既能在自己的域名上使用 HTTPS 和缓存，存储桶也保持私有。参见为存储桶链接使用自定义域名。