可视化编辑器：用控制台策略生成器快速创建桶策略

说实话，我早期做权限配置的时候，全是手写JSON。一个分号没对齐，整个策略就废了。后来有一次给人排查问题，发现他那条桶策略里多了一个逗号，导致匿名用户都能下载所有文件——嗯，血的教训。

所以现在能用可视化编辑器，我绝不手写。云厂商控制台里自带的策略生成器，说白了就是帮你把选择题变成填空和勾选，最后自动生成一份合法的JSON策略。你只要理解几个核心概念，就能三两下把桶策略搭起来。

4.1 从哪找到策略生成器？

不同云厂商入口大同小异。以AWS为例，我个人习惯直接进IAM控制台，左侧菜单点「Policies」→「Create policy」→ 切到「JSON」标签旁边那个「Visual」就是。阿里云在RAM控制台里叫「权限策略管理」，也有「可视化编辑」。

要是你还不太熟悉，我建议你先进去随便点几下，哪怕不保存，也能熟悉界面。

4.2 可视化配置的核心四要素

不管哪个云厂商，策略生成器里你都要填四个东西：

要素	含义	注意事项
Effect	允许（Allow）还是拒绝（Deny）	Deny优先级高于Allow，别乱用
Service	要操作的云服务（比如OSS、S3）	不同服务名字不一样，选桶存储那个就行
Action	具体的操作（比如GetObject、PutObject）	别选太多，按最小权限原则来
Resource	操作的资源（桶ARN或对象ARN）	用桶ARN时一般要加上/*才能匹配所有对象

你可能还会看到「Condition」（条件）和「Principal」（主体）。桶策略里Principal特别重要——你需要指定这个策略对谁生效。我曾经见过有人把Principal写成"*"导致可读，所以这一栏一定要检查。

4.3 实战：给一个子账号只读访问桶内所有图片

我们走一遍完整的操作流程。假设我有一个桶叫my-photo-bucket，要给子用户pic-viewer只读权限。

1. 打开策略生成器，选择服务：对象存储 / S3 / OSS（看你用哪个云）。
2. Effect 选 Allow。
3. Action 列表里只勾 GetObject 和 ListBucket。ListBucket虽然看不见对象内容，但能列出桶里有哪些文件，否则用户打开桶就是空的。
4. Resource 填：
   • arn:aws:s3:::my-photo-bucket （给ListBucket用）
   • arn:aws:s3:::my-photo-bucket/* （给GetObject用，/*代表桶里所有对象）
5. Principal 填子用户ARN，或者直接选具体用户ID。
6. 点「Add statement」→ 再点「Next」→ 生成策略JSON。

你看看，整个过程没有写一行JSON代码。生成的JSON可以直接贴到桶策略编辑框里。

4.4 那些容易踩的坑

我先说说我自己踩过的一个坑。有一次给客户配跨账号访问，客户始终报403。查了半天发现——在生成器里Resource我填的my-bucket，但实际ARN前缀是arn:aws-cn::s3:::（不同分区前缀不同）。生成器不会自动帮你加分区前缀，必须手写完整ARN。

还有一点，很多人不理解「条件」怎么用。生成器里通常有个「Add condition」按钮，里面可以选来源IP、请求时间、是否使用HTTPS等。比如想限制只能从公司IP访问，就加一条aws:SourceIp的条件。

4.5 可视化生成 vs 手写JSON：哪个更适合你？

我个人经验是：

• 简单策略（只读/只写、单个桶） → 可视化生成器，快、准、稳。
• 复杂策略（交叉账号、多个条件、嵌套变量） → 可视化有时会受限（比如不支持所有条件Key），这时候需要手写JSON对照。
• 生产环境 → 我建议先可视化搭框架，再切到JSON调整细节。因为可视化生成的JSON格式一定合法，你后续改也不容易出错。

说白了，工具是为人服务的。你不需要硬背JSON语法，但得理解它背后的逻辑。这也是我为什么要把这章放在课程前面——掌握了可视化工具，你后面学手写JSON时会更轻松。

4.6 本章知识体系：可视化策略生成流程

我画了一张图，把从进入生成器到最终部署策略的关键节点串起来，你看一眼就能记住整体路径。

你看完这张图应该就清楚整个路径了。从进入生成器到最终部署，五个步骤线性的，中间没有坑的话三四分钟搞定。

好了，这节内容讲完了。下一节我会带你用真实案例一步步操作，这样你就不用光看我写，自己也能动手。