桶策略-九游平台

桶策略

桶策略是作用于所配置的obs桶及桶内对象的。obs桶拥有者通过桶策略可为iam用户或其他账号授权桶及桶内对象的操作权限。

• 创建桶和获取桶列表这两个服务级的操作权限，需要通过配置。
• 由于缓存的存在，配置桶策略后，最长需要等待5分钟策略才能生效。

桶策略模板：

obs控制台预置了八种常用典型场景的桶策略模板，用户可以使用模板创建桶策略，快速完成桶策略配置。

选择使用模板创建时，部分模板需要指定被授权用户或资源范围，您也可以在原模板基础上修改被授权用户、资源范围、模板动作以及增加桶策略执行的条件。

自定义桶策略：

你也可以根据实际业务场景的定制化需求，不使用预置桶策略模板，自定义创建桶策略。自定义桶策略由效力、被授权用户、资源、动作和条件5个桶策略基本元素共同决定。详细请参见obs权限控制要素。

对象策略

对象策略即为桶策略中针对对象的策略，桶策略中针对对象的策略是通过配置资源来实现对象匹配的，资源可配置“*”（表示所有对象）或对象前缀（表示对象集）。对象策略则是直接选定对象后，配置到选定的对象资源的策略。

对象策略模板：

obs控制台预置了两种常用典型场景的对象策略模板，用户可以使用模板创建对象策略，快速完成对象策略配置。

选择使用模板创建时，部分模板需要指定被授权用户，您也可以在原模板基础上修改被授权用户、模板动作以及增加对象策略执行的条件。资源范围即为所需配置对象策略的对象，系统自动指定，无需修改。

自定义对象策略：

你也可以根据实际业务场景的定制化需求，不使用预置对象策略模板，自定义创建对象策略。自定义对象策略由效力、被授权用户、资源、动作和条件5个桶策略基本元素共同决定，与桶策略类似，详细请参见。其中资源为已选择的对象，系统自动配置。

桶策略和对象策略之间的关系

对象策略即为桶策略中针对对象的策略，区别是对象策略只针对一个对象，桶策略中针对对象的策略可以配置多个对象或桶中所有对象。

桶策略应用场景

• 允许其他华为云账号访问obs资源，可以使用桶策略的方式授权对应权限。
• 当不同的桶对于不同的iam用户有不同的访问控制需求时，需使用桶策略分别授权iam用户不同的权限。

桶策略通用配置方法

• 自定义创建桶策略（json视图）

桶策略样例

• 示例1：向iam用户授予指定桶中所有对象的指定操作权限

  以下示例策略向账号b4bf1b36d9ca43d984fbcb9491b6fce9（账号id）下的用户id为71f3901173514e6988115ea2c26d1999的iam用户授予putobject和putobjectacl权限。

  {
      "statement":[
      {
        "sid":"addcannedacl",
        "effect":"allow",
        "principal": {"id": ["domain/b4bf1b36d9ca43d984fbcb9491b6fce9:user/71f3901173514e6988115ea2c26d1999"]},
        "action":["putobject","putobjectacl"],
        "resource":["examplebucket/*"]
      }
    ]
  }

• 示例2：向iam用户授予指定桶的所有操作权限

  以下示例策略向账号b4bf1b36d9ca43d984fbcb9491b6fce9（账号id）下的用户id为71f3901173514e6988115ea2c26d1999的iam用户授予examplebucket的所有操作权限（包含桶操作与对象操作）。

  {
      "statement":[
      {
        "sid":"test",
        "effect":"allow",
        "principal": {"id": ["domain/b4bf1b36d9ca43d984fbcb9491b6fce9:user/71f3901173514e6988115ea2c26d1999"]},
        "action":["*"],
        "resource":[
          "examplebucket/*",
          "examplebucket"
        ]
      }
    ]
  }

• 示例3：向obs用户授予除删除对象外的所有对象操作权限

  以下示例策略向账号b4bf1b36d9ca43d984fbcb9491b6fce9（账号户id）下的用户id为71f3901173514e6988115ea2c26d1999的iam用户授予examplebucket除删除对象外的所有对象操作权限。

  {
      "statement":[
      {
        "sid":"test1",
        "effect":"allow",
        "principal": {"id": ["domain/b4bf1b36d9ca43d984fbcb9491b6fce9:user/71f3901173514e6988115ea2c26d1999"]},
        "action":["*"],
        "resource":["examplebucket/*"]
      },
      {
        "sid":"test2",
        "effect":"deny",
        "principal": {"id": ["domain/b4bf1b36d9ca43d984fbcb9491b6fce9:user/71f3901173514e6988115ea2c26d1999"]},
        "action":["deleteobject"],
        "resource":["examplebucket/*"]
      }
    ]
  }

• 示例4：向所有账号授予指定对象的只读权限

  下面的示例策略向所有账号授予examplebucket桶中exampleobject的getobject（下载对象）权限。此权限允许任何人读取对象exampleobject的数据。

  {
      "statement":[
      {
        "sid":"addperm",
        "effect":"allow",
        "principal": "*",
        "action":["getobject"],
        "resource":["examplebucket/exampleobject"]
      }
    ]
  }

• 示例5：限制对特定ip地址的访问权限

  以下示例向任何用户授予对指定桶中的对象执行任何obs操作的权限。但是，请求必须来自条件中指定的ip地址范围。此语句的条件确定允许的ip地址范围为192.168.0.*，只有一个例外：192.168.0.1。

  condition块使用ipaddress和notipaddress条件以及sourceip条件键（这是obs范围的条件键）。另请注意sourceip值使用rfc 4632中描述的cidr表示法。

  {
    "statement": [
      {
        "sid": "ipallow",
        "effect": "allow",
        "principal": "*",
        "action": "*",
        "resource": "examplebucket/*",
        "condition": {
           "ipaddress": {"sourceip": "192.168.0.0/24"},
           "notipaddress": {"sourceip": "192.168.0.1/32"} 
        } 
      } 
    ]
  }