1020      windows

Bucket權限分離__權限管理_最佳實踐_對象存儲 OSS-阿裏雲

再來考慮一種場景，已經有別的用戶在使用開發的App，那麼可以考慮用單獨的Bucket來存儲用戶的App數據，假定為ram-test-app。那麼考慮到權限隔離的問題，就不應該讓應用服務器訪問到ram-test-app，即僅授予ram_test_pub這個賬號ram-test-dev的讀權限。這也是可以通過RAM的權限係統來完成的。具體操作步驟如下：

1. 由於係統中沒有Bucket級別的默認策略，因此需要自定義策略，如下圖示：
   

   這裏Bucket訪問的策略如下，其他更詳細的可以參考 RAM策略的說明 和 OSS授權問題FAQ。

    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "oss:ListObjects",
            "oss:GetObject"
          ],
          "Resource": [
            "acs:oss:*:*:ram-test-dev",
            "acs:oss:*:*:ram-test-dev/*"
          ]
        }
      ]
    }

   
   

   設置完成之後可以在自定義授權策略列表中看到。
   

2. 在用戶的授權管理中將該策略加入授權範圍，並且在用戶管理> 管理 >用戶授權策略 中將之前授予的OSS全部可讀權限解除。
   
   

3. 測試權限設置的有效性。

   可以訪問ram-test-dev的Object：

   $./osscmd get oss://ram-test-dev/test.txt test.txt --host=oss-cn-hangzhou.aliyuncs.com -i 9EzKokeQfGvJRQKu -k I4u6pLNhrQNKnpWQuM4szJfxhOLRGm 
   100%  The object test.txt is downloaded to test.txt, please check.
   0.047(s) elapsed

   訪問ram-test-app的Object失敗：

    $./osscmd get oss://ram-test-app/test.txt test.txt --host=oss-cn-hangzhou.aliyuncs.com -i 9EzKokeQfGvJRQKu -k I4u6pLNhrQNKnpWQuM4szJfxhOLRGm
    Error Headers:
    [('content-length', '229'), ('server', 'AliyunOSS'), ('connection', 'keep-alive'), ('x-oss-request-id', '5646ED53F9EEA2F3324191A2'), ('date', 'Sat, 14 Nov 2015 08:14:11 GMT'), ('content-type', 'application/xml')]
    Error Body:
    <?xml version="1.0" encoding="UTF-8"?>
    <Error>
      <Code>AccessDenied</Code>
      <Message>AccessDenied</Message>
      <RequestId>5646ED53F9EEA2F3324191A2</RequestId>
      <HostId>ram-test-app.oss-cn-hangzhou.aliyuncs.com</HostId>
    </Error>
    Error Status:
    403
    get Failed!

   上傳文件到oss-test-app也失敗：

    $./osscmd put test.txt oss://ram-test-app/test.txt  --host=oss-cn-hangzhou.aliyuncs.com -i 9EzKokeQfGvJRQKu -k I4u6pLNhrQNKnpWQuM4szJfxhOLRGm           
    100%  Error Headers:
    [('content-length', '229'), ('server', 'AliyunOSS'), ('connection', 'keep-alive'), ('x-oss-request-id', '5646ED7BB8DE437A912DC7A8'), ('date', 'Sat, 14 Nov 2015 08:14:51 GMT'), ('content-type', 'application/xml')]
    Error Body:
    <?xml version="1.0" encoding="UTF-8"?>
    <Error>
      <Code>AccessDenied</Code>
      <Message>AccessDenied</Message>
      <RequestId>5646ED7BB8DE437A912DC7A8</RequestId>
      <HostId>ram-test-app.oss-cn-hangzhou.aliyuncs.com</HostId>
    </Error>
    Error Status:
    403
    put Failed!

通過上文的設置，就成功的將ram-test-dev和ram-test-app的權限完全區分開了。