授权条件
除了指定效力、被授权用户、授权资源、授权操作外，桶策略还可以指定生效条件。只有当条件设置的表达式与访问请求中的值匹配时，桶策略才生效。条件是可选参数，用户可以根据业务需要选择是否使用。
例如，账号A想要拥有账号B向其example桶中上传的对象的完全控制权限（因为默认情况下对象由上传该对象的账号B拥有），则可以指定上传请求中必须包含acl键，以及显式授予完全控制权限，完整的条件表达式如下：
|
条件运算符 |
键 |
值 |
|---|---|---|
|
StringEquals |
acl |
bucket-owner-full-control |
条件由条件运算符、键、值三部分组成，最终组成一个条件表达式，决定桶策略生效的条件。条件运算符、键两者之间存在互相限制的关联关系，例如：
- 条件运算符选择了一个String类型的，比如StringEquals，键就只能选择String类型的，比如UserAgent。
- 键选择了一个Date类型，比如CurrentTime，条件运算符就只能选择Date类型的，比如DateEquals。
OBS提供如表1所示的预定义条件运算符。
|
类型 |
关键字 |
说明 |
|---|---|---|
|
String |
StringEquals |
字符串匹配，简化为：streq。 |
|
StringNotEquals |
字符串不匹配，简化为：strneq。 |
|
|
StringEqualsIgnoreCase |
忽略大小写的字符串匹配，简化为：streqi。 |
|
|
StringNotEqualsIgnoreCase |
忽略大小写的字符串不匹配，简化为：strneqi。 |
|
|
StringLike |
宽松的区分大小写的匹配。这些值可以在字符串中的任何地方包括一个多字符匹配的通配符(*)和单字符匹配通配符(?)。简化为：strl。 |
|
|
StringNotLike |
非宽松区分大小写的匹配。这些值可以在字符串中的任何地方包括一个多字符匹配的通配符(*)和单字符匹配通配符(?)。简化为：strnl。 |
|
|
Numeric |
NumericEquals |
相等，简化为：numeq。 |
|
NumericNotEquals |
不相等，简化为：numneq。 |
|
|
NumericLessThan |
小于，简化为：numlt。 |
|
|
NumericLessThanEquals |
小于等于，简化为：numlteq。 |
|
|
NumericGreaterThan |
大于，简化为：numgt。 |
|
|
NumericGreaterThanEquals |
大于等于，简化为：numgteq。 |
|
|
Date |
DateEquals |
日期时间相等，简化为：dateeq。 |
|
DateNotEquals |
日期时间不相等，简化为：dateneq。 |
|
|
DateLessThan |
日期时间小于，简化为：datelt。 |
|
|
DateLessThanEquals |
日期时间小于等于，简化为：datelteq。 |
|
|
DateGreaterThan |
日期时间大于，简化为：dategt。 |
|
|
DateGreaterThanEquals |
日期时间大于等于，简化为：dategteq。 |
|
|
Boolean |
Bool |
严格布尔值相等。 |
|
IP address |
IpAddress |
指定的IP或IP范围，例如x.x.x.x/24。 |
|
NotIpAddress |
除指定的IP或IP范围外所有IP，例如x.x.x.x/24。 |
条件中可选的键包括以下三种：动作无关的通用键、与桶动作有关的键和与对象动作有关的键。
|
键 |
类型 |
描述 |
|---|---|---|
|
CurrentTime |
Date |
服务器接收请求的时间，格式满足ISO 8601标准。 |
|
EpochTime |
Numeric |
服务器接收请求的时间，格式为1970.01.01 00:00:00 UTC开始所经过的秒数，不考虑闰秒。 |
|
SecureTransport |
Bool |
请求是否使用SSL加密。 |
|
SourceIp |
IP address |
请求发起的源IP。 |
|
UserAgent |
String |
请求的客户端软件代理程序。 |
|
Referer |
String |
请求从哪个链接发起。 |
|
Action |
可选键 |
描述 |
说明 |
|---|---|---|---|
|
ListBucket |
prefix |
String类型，列举以指定的字符串prefix开头的对象。 |
配置prefix、delimiter、max-keys后，执行List操作时需要带上符合条件的键值对信息，桶策略才生效。 例如，某桶配置了匿名用户可读的桶策略，且条件运算符=NumericEquals，键=max-keys，值=100。则匿名用户列举对象时需要在桶访问域名末尾加上?max-keys=100，才能完成对象列举，且列举的对象将是按照字典顺序的前100个对象。 |
|
max-keys |
Numeric类型，指定返回的最大数，返回的对象列表将是按照字典顺序的最多前max-keys个对象。 |
||
|
ListBucketVersions |
prefix |
String类型，列举以指定的字符串prefix开头的多版本对象。 |
|
|
max-keys |
Numeric类型，指定返回的最大数，返回的对象列表将是按照字典顺序的最多前max-keys个对象。 |
||
|
PutBucketAcl |
acl |
String类型，设置桶ACL。修改桶ACL时在头域中可以包含的Canned ACL，取值范围为private|public-read|public-read-write|authenticated-read|bucketowner-read|bucket-owner-full-control|log-delivery-write。 |
无 |
|
Action |
可选键 |
描述 |
|---|---|---|
|
PutObject |
acl |
String类型，设置对象ACL。上传对象时在头域中可以包含的Canned ACL，取值范围为private|public-read|public-read-write|authenticated-read|bucketowner-read|bucket-owner-full-control|log-delivery-write。 |
|
copysource |
String类型，用来指定复制对象时对象操作的源桶名以及源对象名。格式如/bucketname/keyname。 |
|
|
metadata-directive |
String类型，用来指定新对象的元数据是从元对象中复制，还是用请求中的元数据替换，取值范围为COPY|REPLACE。 |
|
|
PutObjectAcl |
acl |
String类型，设置对象ACL。上传对象时在头域中可以包含的Canned ACL，取值范围为private|public-read|public-read-write|authenticated-read|bucketowner-read|bucket-owner-full-control|log-delivery-write。 |
|
GetObjectVersion |
VersionId |
String类型，获取VersionId为xxx版本的对象。 |
|
GetObjectVersionAcl |
VersionId |
String类型，获取VersionId为xxx版本的对象ACL。 |
|
PutObjectVersionAcl |
VersionId |
String类型，设置VersionId。 |
|
acl |
String类型，设置VersionId为xxx版本的对象ACL。上传对象时在头域中可以包含的Canned ACL，取值范围为private|public-read|public-read-write|authenticated-read|bucketowner-read|bucket-owner-full-control|log-delivery-write。 |
|
|
DeleteObjectVersion |
VersionId |
String类型，删除VersionId为xxx版本的对象。 |
