813      微信

读写权限分离__权限管理_最佳实践_对象存储 OSS-阿里云

当用户要使用应用服务器对外服务的时候，OSS可以作为后端静态资源的存储。这个时候应用服务器最好只获取OSS的读权限以降低被攻击的风险。可以设置读写权限分离，给应用服务器一个只读权限的用户即可。

创建一个ram_test_pub的账号，在授权管理的地方选择ReadOnly即可，如下图所示。

使用该账号的AccessKey测试一下上传下载的权限。这里的AccessKey为ram_test_pub的，实际试验中AccessKey请替换成自己使用的。

$./osscmd get oss://ram-test-dev/test.txt test.txt --host=oss-cn-hangzhou.aliyuncs.com -i 9EzKokeQfGvJRQKu -k I4u6pLNhrQNKnpWQuM4szJfxhOLRGm
100%  The object test.txt is downloaded to test.txt, please check.
0.070(s) elapsed

$./osscmd put test.txt oss://ram-test-dev/test.txt  --host=oss-cn-hangzhou.aliyuncs.com -i 9EzKokeQfGvJRQKu -k I4u6pLNhrQNKnpWQuM4szJfxhOLRGm           
100%  Error Headers:
[('content-length', '229'), ('server', 'AliyunOSS'), ('connection', 'keep-alive'), ('x-oss-request-id', '5646E49C1790CF0F531BAE0D'), ('date', 'Sat, 14 Nov 2015 07:37:00 GMT'), ('content-type', 'application/xml')]
Error Body:
<?xml version="1.0" encoding="UTF-8"?>
<Error>
  <Code>AccessDenied</Code>
  <Message>AccessDenied</Message>
  <RequestId>5646E49C1790CF0F531BAE0D</RequestId>
  <HostId>ram-test-dev.oss-cn-hangzhou.aliyuncs.com</HostId>
</Error>
Error Status:
403
put Failed!

可见确实已经无法使用ram_test_pub这个账号上传文件了。