Présentation de la liste de contrôle d'accès (ACL)

Les listes de contrôle d'accès (ACL) d'Amazon S3 vous permettent d'accéder aux compartiments et aux objets. Chaque compartiment et objet possède une liste ACL qui lui est attachée comme sous-ressource. Il définit le Comptes AWS ou les groupes auxquels l'accès est accordé et le type d'accès. Lors de la réception d'une demande sur une ressource, Amazon S3 vérifie la liste ACL correspondante pour s'assurer que le demandeur possède les autorisations d'accès nécessaires.

La propriété d'objets S3 est un paramètre Amazon S3 au niveau des compartiments que vous pouvez utiliser pour contrôler la propriété des objets qui sont chargés dans votre compartiment, ainsi que pour désactiver ou activer les listes ACL. Par défaut, la propriété des objets est définie sur le paramètre Propriétaire du compartiment appliqué et toutes les listes ACL sont désactivées. Lorsque les listes ACL sont désactivées, le propriétaire du compartiment détient tous les objets du compartiment et gère leur accès exclusivement au moyen de politiques de gestion des accès.

La majorité des cas d'utilisation modernes dans Amazon S3 ne nécessitent plus l'utilisation des listes ACL. Nous vous recommandons de maintenir les listes ACL désactivées, sauf dans des circonstances inhabituelles où vous devez contrôler l'accès individuellement pour chaque objet. Lorsque les listes ACL sont désactivées, vous pouvez utiliser des politiques pour contrôler l'accès à tous les objets de votre compartiment, quelle que soit la personne qui les a chargés dans votre compartiment. Pour plus d’informations, consultez Consultez Contrôle de la propriété des objets et désactivation des listes ACL pour votre compartiment.

Important

Si votre compartiment utilise le paramètre Propriétaire du compartiment appliqué pour la propriété des objets S3, vous devez utiliser des politiques pour accorder l’accès à votre compartiment et aux objets qu’il contient. Quand le paramètre Propriétaire du compartiment appliqué est activé, les demandes de définition des listes de contrôle d’accès (ACL) ou des listes ACL de mise à jour échouent et renvoient le code d’erreur AccessControlListNotSupported. Les demandes de lecture de listes ACL sont toujours prises en charge.

Lorsque vous créez un compartiment ou un objet, Amazon S3 crée une liste ACL par défaut qui octroie au propriétaire de la ressource le contrôle total sur celle-ci. Ce comportement est illustré dans l'exemple de liste ACL de compartiment suivant (la liste ACL d'objet par défaut possède la même structure) :

<?xml version="1.0" encoding="UTF-8"?>
<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Owner>
    <ID>*** Owner-Canonical-User-ID ***</ID>
    <DisplayName>owner-display-name</DisplayName>
  </Owner>
  <AccessControlList>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
               xsi:type="Canonical User">
        <ID>*** Owner-Canonical-User-ID ***</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>FULL_CONTROL</Permission>
    </Grant>
  </AccessControlList>
</AccessControlPolicy> 

L'exemple de liste ACL inclut un élément Owner qui identifie le propriétaire par l'ID d'utilisateur canonique du Compte AWS. Pour obtenir des instructions pour trouver votre ID d'utilisateur canonique, consultez Trouver un nom d'utilisateur Compte AWS canonique. L'Grantélément identifie le bénéficiaire (soit un groupe prédéfini, Compte AWS soit un groupe prédéfini) et l'autorisation accordée. Cette liste ACL par défaut possède un élément Grant pour le propriétaire. Vous accordez des autorisations en ajoutant des éléments Grant, avec chaque accord identifiant le bénéficiaire et l'autorisation.

Note

Une liste ACL peut avoir 100 accords maximum.

Qui est un bénéficiaire ?

Un bénéficiaire peut être un Compte AWS ou l'un des groupes Amazon S3 prédéfinis. Vous autorisez l' Compte AWS utilisation de l'adresse e-mail ou de l'ID utilisateur canonique. Toutefois, si vous fournissez une adresse e-mail dans la demande d'accord, Amazon S3 trouve l'ID d'utilisateur canonique pour ce compte et l'ajoute à la liste ACL. Les ACL qui en résultent contiennent toujours l'ID utilisateur canonique du Compte AWS, et non l'adresse e-mail du. Compte AWS

Lorsque vous accordez des droits d'accès, vous spécifiez chaque bénéficiaire sous la forme d'une paire type="value", où le type est l'un des suivants :

• id— Si la valeur spécifiée est l'ID utilisateur canonique d'un Compte AWS

• uri : si vous accordez des autorisations à un groupe prédéfini

• emailAddress : si la valeur spécifiée est l'adresse e-mail d'un Compte AWS

Important

L'utilisation d'adresses e-mail pour spécifier un bénéficiaire est prise en charge uniquement dans les Régions AWS suivantes :

• US East (N. Virginia)

• USA Ouest (Californie du Nord)

• US West (Oregon)

• Asie-Pacifique (Singapour)

• Asie-Pacifique (Sydney)

• Asia Pacific (Tokyo)

• Europe (Ireland)

• South America (São Paulo)

Pour obtenir la liste de toutes les régions et de tous les points de terminaison Amazon S3 pris en charge, consultez Régions et points de terminaison dans Référence générale d'Amazon Web Services.

Exemple : adresse e-mail

Par exemple, l'x-amz-grant-readen-tête suivant autorise les adresses e-mail Comptes AWS identifiées par les adresses e-mail à lire les données des objets et leurs métadonnées :

x-amz-grant-read: emailAddress="[e-mail]", emailAddress="[e-mail]"

Avertissement

Lorsque vous accordez à d'autres personnes l' Comptes AWS accès à vos ressources, sachez qu'elles Comptes AWS peuvent déléguer leurs autorisations aux utilisateurs de leurs comptes. Il s'agit d'un accès entre comptes. Pour en savoir plus sur l’utilisation de l’accès intercompte, consultez Création d’un rôle pour la délégation d’autorisations à un utilisateur IAM dans le Guide de l’utilisateur IAM.

Trouver un nom d'utilisateur Compte AWS canonique

L'ID d'utilisateur canonique est associé au Compte AWS. Cet ID est composé d'une longue chaîne de caractères, par exemple :

79a59df900b949e55d96a1e698fbacedfd6e09d98eacf8f8d5218e7cd47ef2be

Pour plus d'informations sur la recherche de l'ID d'utilisateur canonique de votre compte, consultez la section Identification de l'ID d'utilisateur canonique de votre Compte AWS.

Vous pouvez également rechercher l'ID utilisateur canonique d'un Compte AWS en lisant l'ACL d'un bucket ou d'un objet auquel il Compte AWS possède des autorisations d'accès. Lorsqu'une personne Compte AWS obtient des autorisations par le biais d'une demande de subvention, une entrée de subvention est ajoutée à l'ACL avec l'ID utilisateur canonique du compte.

Note

Si vous rendez votre compartiment public (non recommandé), n'importe quel utilisateur non authentifié pourra y charger des objets. Ces utilisateurs anonymes ne disposent pas d'un Compte AWS. Lorsqu'un utilisateur anonyme charge un objet dans votre compartiment, Amazon S3 ajoute un ID utilisateur canonique spécial (65a011a29cdf8ec533ec3d1ccaae921c) comme propriétaire de l'objet dans la liste ACL. Pour plus d’informations, consultez Propriété du compartiment et de l'objet Amazon S3.

Groupes prédéfinis Amazon S3

Amazon S3 possède un ensemble de groupes prédéfinis. Lorsque l'accès à un compte est accordé à un groupe, vous spécifiez l'un des URI Amazon S3 au lieu de l'ID d'utilisateur canonique. Amazon S3 fournit les groupes prédéfinis suivants :

• Groupe des utilisateurs authentifiés – Représenté par http://acs.amazonaws.com/groups/global/AuthenticatedUsers.

  Ce groupe représente tout le monde Comptes AWS. L'autorisation d'accès à ce groupe permet Compte AWS à n'importe qui d'accéder à la ressource. Toutefois, toutes les demandes doivent être signées (authentifiées).

  Avertissement

  Lorsque vous accordez l'accès au groupe Utilisateurs authentifiés, n'importe quel utilisateur AWS authentifié dans le monde peut accéder à votre ressource.

• Groupe de tous les utilisateurs – Représenté par http://acs.amazonaws.com/groups/global/AllUsers.

  Une autorisation d'accès à ce groupe permet à tout le monde d'accéder à la ressource. Les demandes peuvent être signées (authentifiées) ou non (anonymes). Les demandes non signées omettent l'en-tête Authentification dans la demande.

  Avertissement

  Nous vous recommandons vivement de ne pas jamais accorder au groupe de tous les utilisateurs les autorisations WRITE, WRITE_ACP ou FULL_CONTROL. Par exemple, bien que les autorisations WRITE ne permettent pas aux non-propriétaires de remplacer ou de supprimer des objets existants, les autorisations WRITE permettent toujours à quiconque de stocker des objets dans votre compartiment, ce pour quoi vous êtes facturé. Pour plus de détails sur ces autorisations, consultez la section suivante Quelles autorisations puis-je octroyer ?.

• Groupe de livraison des journaux – Représenté par http://acs.amazonaws.com/groups/s3/LogDelivery.

  Une autorisation WRITE sur un compartiment permet à ce groupe d'écrire des journaux d'accès au serveur (consultez Enregistrement de demandes avec journalisation des accès au serveur) dans le compartiment.

Note

Lorsque vous utilisez des ACL, un bénéficiaire peut être un Compte AWS ou l'un des groupes Amazon S3 prédéfinis. Toutefois, le bénéficiaire ne peut pas être un utilisateur IAM. Pour plus d’informations sur les utilisateurs et autorisations AWS dans IAM, consultez Utilisation d’ AWS Identity and Access Management.

Quelles autorisations puis-je octroyer ?

Le tableau suivant répertorie l'ensemble des autorisations qu'Amazon S3 prend en charge dans une liste ACL. Toutes les autorisations de liste ACL sont identiques pour les listes ACL d'objet et de compartiment. Toutefois, selon le contexte (liste ACL de compartiment ou liste ACL d'objet), ces autorisations de liste ACL accordent des autorisations pour des opérations spécifiques de compartiment ou d'objet. Le tableau répertorie les autorisations et décrit ce qu'elles signifient pour des objets et des compartiments.

Pour plus d’informations sur les autorisations ACL dans la console Amazon S3, consultez Configuration des listes ACL.

Autorisations ACL
Autorisation	Lorsqu'elles sont accordées sur un compartiment	Lorsqu'elles sont accordées sur un objet
READ	Elles permettent au bénéficiaire de lister les objets dans le compartiment	Elles permettent au bénéficiaire de lire les données de l'objet et ses métadonnées
WRITE	Elles permettent au bénéficiaire de créer des objets dans le compartiment. Pour les propriétaires de compartiments et d'objets existants, elles permettent également de supprimer et de remplacer ces objets.	Ne s’applique pas
READ_ACP	Elles permettent au bénéficiaire de lire la liste ACL du compartiment	Elles permettent au bénéficiaire de lire la liste ACL de l'objet
WRITE_ACP	Elles permettent au bénéficiaire d'écrire la liste ACL pour le compartiment applicable	Elles permettent au bénéficiaire d'écrire la liste ACL pour l'objet applicable
FULL_CONTROL	Elle accorde au bénéficiaire les autorisations READ, WRITE, READ_ACP et WRITE_ACP sur le compartiment	Elle accorde au bénéficiaire les autorisations READ, READ_ACP et WRITE_ACP sur l'objet

Avertissement

Soyez vigilant lorsque vous accordez des autorisations d'accès à vos compartiments et objets S3. Par exemple, l'octroi de l'accès WRITE à un compartiment permet au bénéficiaire de créer des objets dans le compartiment. Nous vous recommandons vivement de lire l'ensemble de la section Présentation de la liste de contrôle d'accès (ACL) avant d'accorder des autorisations.

Mappage des autorisations de liste ACL et de stratégie d'accès

Comme illustré dans la table précédente, une liste ACL permet uniquement d'accorder un ensemble limité d'autorisations, comparé au nombre d'autorisations configurables dans une stratégie d'accès (consultez Actions politiques d'Amazon S3). Chacune de ces autorisations permet une ou plusieurs opérations Amazon S3.

Le tableau suivant montre comment chacune des autorisations de liste ACL est mappée aux autorisations de stratégie d'accès correspondantes. Comme vous pouvez le voir, une stratégie d'accès accorde plus d'autorisations qu'une liste ACL. Vous utilisez une liste ACL principalement pour accorder des autorisations de lecture/écriture de base, similaires aux autorisations de système de fichiers. Pour plus d’informations sur le moment où utiliser une ACL, consultez Consignes relatives à la stratégie d'accès.

Pour plus d’informations sur les autorisations ACL dans la console Amazon S3, consultez Configuration des listes ACL.

Autorisation de liste ACL	Autorisations de stratégie d'accès correspondantes lorsqu'une autorisation de liste ACL est accordée sur un compartiment	Autorisations de stratégie d'accès correspondantes lorsqu'une autorisation de liste ACL est accordée sur un objet
READ	s3:ListBucket, s3:ListBucketVersions et s3:ListBucketMultipartUploads	s3:GetObject et s3:GetObjectVersion
WRITE	s3:PutObject Le propriétaire du compartiment peut créer, remplacer et supprimer n'importe quel objet dans le compartiment, et le propriétaire de l'objet bénéficie du FULL_CONTROL sur son objet. De plus, lorsque le bénéficiaire est le propriétaire du compartiment, l'accord d'une autorisation WRITE dans la liste ACL d'un compartiment permet d'exécuter l'action s3:DeleteObjectVersion sur n'importe quelle version de ce compartiment.	Ne s'applique pas
READ_ACP	s3:GetBucketAcl	s3:GetObjectAcl et s3:GetObjectVersionAcl
WRITE_ACP	s3:PutBucketAcl	s3:PutObjectAcl et s3:PutObjectVersionAcl
FULL_CONTROL	Équivaut à accorder les autorisations de liste ACL READ, WRITE, READ_ACP et WRITE_ACP. Par conséquent, cette autorisation de liste ACL est mappée à une combinaison d'autorisations de stratégie d'accès correspondantes.	Équivaut à accorder les autorisations de liste ACL READ, READ_ACP et WRITE_ACP. Par conséquent, cette autorisation de liste ACL est mappée à une combinaison d'autorisations de stratégie d'accès correspondantes.

Clés de condition

Lorsque vous accordez des autorisations de stratégie d'accès, vous pouvez utiliser des clés de condition pour limiter la valeur de l'ACL sur un objet à l'aide d'une stratégie de compartiment. Les clés de contexte suivantes correspondent aux listes ACL. Vous pouvez utiliser ces clés de contexte pour exiger l'utilisation d'une liste ACL spécifique dans une demande :

• s3:x-amz-grant-read ‐ Exiger un accès en lecture.

• s3:x-amz-grant-write ‐ Exiger un accès en écriture.

• s3:x-amz-grant-read-acp ‐ Exiger un accès en lecture à l'ACL du compartiment.

• s3:x-amz-grant-write-acp ‐ Exiger un accès en écriture à l'ACL du compartiment.

• s3:x-amz-grant-full-control ‐ Exiger un contrôle total.

• s3:x-amz-acl ‐ Exiger une Liste ACL prête à l'emploi.

Pour des exemples de stratégies impliquant des en-têtes spécifiques à une liste ACL, consultez Exemple 1 : Octroi d'une PutObject autorisation s3 : assortie d'une condition obligeant le propriétaire du bucket à obtenir le contrôle total. Pour obtenir la liste complète des clés de condition spécifiques à Amazon S3, consultez la section Actions, ressources et clés de condition pour Amazon S3 dans la référence d'autorisation de service.

Valeurs aclRequired pour les demandes Amazon S3 courantes

Pour identifier les demandes Amazon S3 qui ont nécessité des listes ACL pour l'autorisation, vous pouvez utiliser la valeur aclRequired dans les journaux d'accès du serveur Amazon S3 ou AWS CloudTrail. La aclRequired valeur qui apparaît dans les journaux CloudTrail d'accès au serveur Amazon S3 dépend des opérations appelées et de certaines informations concernant le demandeur, le propriétaire de l'objet et le propriétaire du compartiment. Si aucune ACL n'est requise, ou si vous définissez l'ACL bucket-owner-full-control prédéfinie, ou si les demandes sont autorisées par votre politique de compartiment, la chaîne de aclRequired valeur est « - » dans les journaux d'accès au serveur Amazon S3 et est absente dans CloudTrail.

Les tableaux suivants répertorient les aclRequired valeurs attendues dans les journaux CloudTrail d'accès au serveur Amazon S3 pour les différentes opérations d'API Amazon S3. Vous pouvez utiliser ces informations pour comprendre quelles opérations Amazon S3 dépendent des listes ACL pour l'autorisation. Dans les tables suivantes, A, B et C représentent les différents comptes associés au demandeur, au propriétaire de l'objet et au propriétaire du compartiment. Les entrées suivies d'un astérisque (*) indiquent l'un des comptes A, B ou C.

Note

Les opérations PutObject de la table suivante, sauf indication contraire, indiquent les demandes qui ne définissent pas de liste ACL, sauf si la liste ACL est bucket-owner-full-control. Une valeur nulle pour aclRequired indique qu'elle aclRequired est absente des AWS CloudTrail journaux.

aclRequiredvaleurs pour CloudTrail
Nom de l'opération	Demandeur	Propriétaire de l'objet	Propriétaire du compartiment	La politique du compartiment autorise l'accès	Valeur aclRequired	Raison
GetObject	A	A	A	Oui ou Non	null	Accès dans le même compte
	A	B	A	Oui ou Non	null	Accès au même compte avec le propriétaire du compartiment obligatoire
	A	A	B	Oui	null	Accès intercompte accordé par la politique du compartiment
	A	A	B	Non	Oui	Accès intercompte reposant sur la liste ACL
	A	A	B	Oui	null	Accès intercompte accordé par la politique du compartiment
	A	B	B	Non	Oui	Accès intercompte reposant sur la liste ACL
	A	B	C	Oui	null	Accès intercompte accordé par la politique du compartiment
	A	B	C	Non	Oui	Accès intercompte reposant sur la liste ACL
PutObject	A	Ne s’applique pas	A	Oui ou Non	null	Accès dans le même compte
	A	Ne s’applique pas	B	Oui	null	Accès intercompte accordé par la politique du compartiment
	A	Ne s’applique pas	B	Non	Oui	Accès intercompte reposant sur la liste ACL
PutObject avec une liste ACL (sauf pour bucket-owner-full-control)	*	Ne s’applique pas	*	Oui ou Non	Oui	Demande autorise la liste ACL
ListObjects	A	Ne s’applique pas	A	Oui ou Non	null	Accès dans le même compte
	A	Ne s’applique pas	B	Oui	null	Accès intercompte accordé par la politique du compartiment
	A	Ne s’applique pas	B	Non	Oui	Accès intercompte reposant sur la liste ACL
DeleteObject	A	Ne s’applique pas	A	Oui ou Non	null	Accès dans le même compte
	A	Ne s’applique pas	B	Oui	null	Accès intercompte accordé par la politique du compartiment
	A	Ne s’applique pas	B	Non	Oui	Accès intercompte reposant sur la liste ACL
PutObjectAcl	*	*	*	Oui ou Non	Oui	Demande autorise la liste ACL
PutBucketAcl	*	Ne s’applique pas	*	Oui ou Non	Oui	Demande autorise la liste ACL

Note

Les opérations REST.PUT.OBJECT de la table suivante, sauf indication contraire, indiquent les demandes qui ne définissent pas de liste ACL, sauf si la liste ACL est bucket-owner-full-control. Une chaîne de valeur aclRequired « - » indique une valeur nulle dans les journaux d'accès au serveur Amazon S3.

Valeurs aclRequired pour les journaux d'accès au serveur Amazon S3
Nom de l'opération	Demandeur	Propriétaire de l'objet	Propriétaire du compartiment	La politique du compartiment autorise l'accès	Valeur aclRequired	Raison
REST.GET.OBJECT	A	A	A	Oui ou Non	-	Accès dans le même compte
	A	B	A	Oui ou Non	-	Accès au même compte avec le propriétaire du compartiment obligatoire
	A	A	B	Oui	-	Accès intercompte accordé par la politique du compartiment
	A	A	B	Non	Oui	Accès intercompte reposant sur la liste ACL
	A	B	B	Oui	-	Accès intercompte accordé par la politique du compartiment
	A	B	B	Non	Oui	Accès intercompte reposant sur la liste ACL
	A	B	C	Oui	-	Accès intercompte accordé par la politique du compartiment
	A	B	C	Non	Oui	Accès intercompte reposant sur la liste ACL
REST.PUT.OBJECT	A	Ne s’applique pas	A	Oui ou Non	-	Accès dans le même compte
	A	Ne s’applique pas	B	Oui	-	Accès intercompte accordé par la politique du compartiment
	A	Ne s’applique pas	B	Non	Oui	Accès intercompte reposant sur la liste ACL
REST.PUT.OBJECT avec une liste ACL (sauf pour bucket-owner-full-control)	*	Ne s’applique pas	*	Oui ou Non	Oui	Demande autorise la liste ACL
REST.GET.BUCKET	A	Ne s’applique pas	A	Oui ou Non	-	Accès dans le même compte
	A	Ne s’applique pas	B	Oui	-	Accès intercompte accordé par la politique du compartiment
	A	Ne s’applique pas	B	Non	Oui	Accès intercompte reposant sur la liste ACL
REST.DELETE.OBJECT	A	Ne s’applique pas	A	Oui ou Non	-	Accès dans le même compte
	A	Ne s’applique pas	B	Oui	-	Accès intercompte accordé par la politique du compartiment
	A	Ne s’applique pas	B	Non	Oui	Accès intercompte reposant sur la liste ACL
REST.PUT.ACL	*	*	*	Oui ou Non	Oui	Demande autorise la liste ACL

Exemple de liste ACL

L'exemple de liste ACL suivant sur un compartiment identifie le propriétaire de la ressource et un ensemble d'accords. Le format est la représentation XML d'une liste ACL dans l'API REST Amazon S3. Le propriétaire du compartiment possède l'accès FULL_CONTROL sur la ressource. En outre, l'ACL montre comment les autorisations sont accordées sur une ressource à deux Comptes AWS, identifiés par un ID utilisateur canonique, et à deux des groupes Amazon S3 prédéfinis décrits dans la section précédente.

<?xml version="1.0" encoding="UTF-8"?>
<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Owner>
    <ID>Owner-canonical-user-ID</ID>
    <DisplayName>display-name</DisplayName>
  </Owner>
  <AccessControlList>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>Owner-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>FULL_CONTROL</Permission>
    </Grant>
    
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>user1-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>WRITE</Permission>
    </Grant>

    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>user2-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>READ</Permission>
    </Grant>

    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Group">
        <URI>http://acs.amazonaws.com/groups/global/AllUsers</URI> 
      </Grantee>
      <Permission>READ</Permission>
    </Grant>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Group">
        <URI>http://acs.amazonaws.com/groups/s3/LogDelivery</URI>
      </Grantee>
      <Permission>WRITE</Permission>
    </Grant>

  </AccessControlList>
</AccessControlPolicy>

Liste ACL prête à l'emploi

Amazon S3 prend en charge un ensemble d'accords prédéfinis, appelées listes ACL prédéfinies. Chaque liste ACL prête à l'emploi possède un ensemble prédéfini de bénéficiaires et d'autorisations. Le tableau suivant liste l'ensemble des listes ACL prêtes à l'emploi et les accords prédéfinis associés.

Liste ACL prête à l'emploi	S'applique à	Autorisations ajoutées à la liste ACL
private	Compartiment et objet	Le propriétaire obtient l'accès FULL_CONTROL. Personne d'autre ne possède les droits d'accès (par défaut).
public-read	Compartiment et objet	Le propriétaire obtient l'accès FULL_CONTROL. Le groupe AllUsers (consultez Qui est un bénéficiaire ?) obtient l'accès READ.
public-read-write	Compartiment et objet	Le propriétaire obtient l'accès FULL_CONTROL. Le groupe AllUsers obtient l'accès READ et WRITE. L'accord de ce type d'accès sur un compartiment n'est généralement pas recommandé.
aws-exec-read	Compartiment et objet	Le propriétaire obtient l'accès FULL_CONTROL. Amazon EC2 obtient l'accès READ pour faire une demande GET sur une solution groupée Amazon Machine Image (AMI) issu d'Amazon S3.
authenticated-read	Compartiment et objet	Le propriétaire obtient l'accès FULL_CONTROL. Le groupe AuthenticatedUsers obtient l'accès READ.
bucket-owner-read	Objet	Le propriétaire de l'objet obtient l'accès FULL_CONTROL. Le propriétaire du compartiment obtient l'accès READ. Si vous spécifiez cette ACL prédéfinie lors de la création du compartiment, Amazon S3 l'ignore.
bucket-owner-full-control	Objet	Le propriétaire de l'objet et celui du compartiment obtiennent l'accès FULL_CONTROL sur l'objet. Si vous spécifiez cette ACL prédéfinie lors de la création du compartiment, Amazon S3 l'ignore.
log-delivery-write	Compartiment	Le groupe LogDelivery obtient les autorisations WRITE et READ_ACP sur le compartiment. Pour plus d'informations sur les journaux, consultez (Enregistrement de demandes avec journalisation des accès au serveur).

Note

Vous pouvez uniquement spécifier l'une des listes ACL prêtes à l'emploi dans la demande.

Vous pouvez spécifier une liste ACL prédéfinie dans votre demande grâce à l'en-tête x-amz-acl. Lorsqu'Amazon S3 reçoit une demande contenant une liste ACL prédéfinie, il ajoute les accords prédéfinis à la liste ACL de la ressource.