choose which S3 object ownership?

S3 Object Ownership 兩種模式差異

Amazon S3 服務全名為 簡單儲存服務 (Simple Storage Service)，可支援存取放置於AWS公有雲的檔案，其服務類似 Google Drive 或 Microsoft OneDrive 的網碟功能。S3 儲存容器稱為水桶，儲存的檔案稱為物件。

建立S3水桶時，須決定上傳到水桶的物件，其擁有者將自動歸屬於誰，稱為物件擁有權（Object Ownership）設定。只有物件的擁有者才能設定物件的存取權。這裡簡單介紹兩種設定模式的差異：

🔒 模式一：ACL disabled（recommended）

所有物件都由 Bucket 擁有者持有，不論是誰上傳。ACL 完全被停用，不能再用 ACL 來授權。存取控制只能透過 IAM Policy 或 Bucket Policy 來設定。

優點：集中管理，避免跨帳號物件所有權混亂。

最佳實務：AWS 建議使用這種模式，因為更安全、更容易維護。

🔑 模式二：ACLs enabled

物件可能由上傳者帳號持有，而不是 Bucket 擁有者。存取控制可以透過 ACL（物件或 Bucket 層級）來設定。Bucket Policy 仍然可以使用，但 ACL 會一起參與判斷。

用途：適合跨帳號上傳的特殊情境，例如合作夥伴需要保有自己上傳檔案的所有權。

缺點：管理較複雜，容易造成權限混亂。

⚡ 簡單比較
模式	     物件擁有者	                存取控制方式	      AWS 建議
ACL Disabled Bucket 擁有者	        Policy（IAM / Bucket）✅ 建議
ACL Enabled  上傳者帳號可能成為物件擁有者  ACL + Policy	      僅限特殊需求

✍️ 結語

如果你的環境需要簡單、集中、安全的存取管理，選擇 ACL Disabled（Bucket owner enforced） 是最佳做法。 只有在跨帳號物件所有權的特殊需求下，才需要考慮 ACL Enabled。

註: S3 權限管理機制比較：ACL vs. 水桶政策

功能特性	S3 ACL (存取控制清單)，舊版	水桶政策 (Bucket Policy)，新版
物件所有權	預設由「上傳者」擁有物件，即使上傳者不是水桶擁有者。	由「水桶擁有者」自動擁有水桶內的所有物件。
設定格式	XML 格式。	JSON 格式。
控制粒度	可針對「單一物件」進行微調。	針對整個水桶或特定「前綴 (Prefix/資料夾)」進行管理。
權限複雜度	僅限基本權限（讀取、寫入、完全控制），不支援「拒絕 (Deny)」。	支援複雜條件（IP 限制、MFA、特定時間、明確拒絕等）。
稽核便利性	低。必須逐一檢查每個物件的 ACL 才能得知誰有存取權。	高。只需查看一個 JSON 文件即可瞭解全域權限。
AWS 建議實務	不建議使用（除了特定日誌寫入需求）。	強烈建議使用（最佳實務）。