更新时间:2024-04-16 GMT+08:00

授权条件

除了指定效力、被授权用户、授权资源、授权操作外,桶策略还可以指定生效条件。只有当条件设置的表达式与访问请求中的值匹配时,桶策略才生效。条件是可选参数,用户可以根据业务需要选择是否使用。

例如,账号A想要拥有账号B向其example桶中上传的对象的完全控制权限(因为默认情况下对象由上传该对象的账号B拥有),则可以指定上传请求中必须包含acl键,以及显式授予完全控制权限,完整的条件表达式如下:

条件运算符

StringEquals

acl

bucket-owner-full-control

条件由条件运算符、键、值三部分组成,最终组成一个条件表达式,决定桶策略生效的条件。条件运算符、键两者之间存在互相限制的关联关系,例如:

  • 条件运算符选择了一个String类型的,比如StringEquals,键就只能选择String类型的,比如UserAgent。
  • 键选择了一个Date类型,比如CurrentTime,条件运算符就只能选择Date类型的,比如DateEquals。

OBS提供如表1所示的预定义条件运算符。

表1 各条件运算符含义

类型

关键字

说明

String

StringEquals

字符串匹配,简化为:streq。

StringNotEquals

字符串不匹配,简化为:strneq。

StringEqualsIgnoreCase

忽略大小写的字符串匹配,简化为:streqi。

StringNotEqualsIgnoreCase

忽略大小写的字符串不匹配,简化为:strneqi。

StringLike

宽松的区分大小写的匹配。这些值可以在字符串中的任何地方包括一个多字符匹配的通配符(*)和单字符匹配通配符(?)。简化为:strl。

StringNotLike

非宽松区分大小写的匹配。这些值可以在字符串中的任何地方包括一个多字符匹配的通配符(*)和单字符匹配通配符(?)。简化为:strnl。

Numeric

NumericEquals

相等,简化为:numeq。

NumericNotEquals

不相等,简化为:numneq。

NumericLessThan

小于,简化为:numlt。

NumericLessThanEquals

小于等于,简化为:numlteq。

NumericGreaterThan

大于,简化为:numgt。

NumericGreaterThanEquals

大于等于,简化为:numgteq。

Date

DateEquals

日期时间相等,简化为:dateeq。

DateNotEquals

日期时间不相等,简化为:dateneq。

DateLessThan

日期时间小于,简化为:datelt。

DateLessThanEquals

日期时间小于等于,简化为:datelteq。

DateGreaterThan

日期时间大于,简化为:dategt。

DateGreaterThanEquals

日期时间大于等于,简化为:dategteq。

Boolean

Bool

严格布尔值相等。

IP address

IpAddress

指定的IP或IP范围,例如x.x.x.x/24。

NotIpAddress

除指定的IP或IP范围外所有IP,例如x.x.x.x/24。

条件中可选的键包括以下三种:动作无关的通用键、与桶动作有关的键和与对象动作有关的键。

表2 通用键

类型

描述

CurrentTime

Date

服务器接收请求的时间,格式满足ISO 8601标准。

EpochTime

Numeric

服务器接收请求的时间,格式为1970.01.01 00:00:00 UTC开始所经过的秒数,不考虑闰秒。

SecureTransport

Bool

请求是否使用SSL加密。

SourceIp

IP address

请求发起的源IP。

UserAgent

String

请求的客户端软件代理程序。

Referer

String

请求从哪个链接发起。

表3 与桶动作有关的键

Action

可选键

描述

说明

ListBucket

prefix

String类型,列举以指定的字符串prefix开头的对象。

配置prefix、delimiter、max-keys后,执行List操作时需要带上符合条件的键值对信息,桶策略才生效。

例如,某桶配置了匿名用户可读的桶策略,且条件运算符=NumericEquals,键=max-keys,值=100。则匿名用户列举对象时需要在桶访问域名末尾加上?max-keys=100,才能完成对象列举,且列举的对象将是按照字典顺序的前100个对象。

max-keys

Numeric类型,指定返回的最大数,返回的对象列表将是按照字典顺序的最多前max-keys个对象。

ListBucketVersions

prefix

String类型,列举以指定的字符串prefix开头的多版本对象。

max-keys

Numeric类型,指定返回的最大数,返回的对象列表将是按照字典顺序的最多前max-keys个对象。

PutBucketAcl

acl

String类型,设置桶ACL。修改桶ACL时在头域中可以包含的Canned ACL,取值范围为private|public-read|public-read-write|authenticated-read|bucketowner-read|bucket-owner-full-control|log-delivery-write。

表4 与对象动作相关的键

Action

可选键

描述

PutObject

acl

String类型,设置对象ACL。上传对象时在头域中可以包含的Canned ACL,取值范围为private|public-read|public-read-write|authenticated-read|bucketowner-read|bucket-owner-full-control|log-delivery-write。

copysource

String类型,用来指定复制对象时对象操作的源桶名以及源对象名。格式如/bucketname/keyname。

metadata-directive

String类型,用来指定新对象的元数据是从元对象中复制,还是用请求中的元数据替换,取值范围为COPY|REPLACE。

PutObjectAcl

acl

String类型,设置对象ACL。上传对象时在头域中可以包含的Canned ACL,取值范围为private|public-read|public-read-write|authenticated-read|bucketowner-read|bucket-owner-full-control|log-delivery-write。

GetObjectVersion

VersionId

String类型,获取VersionId为xxx版本的对象。

GetObjectVersionAcl

VersionId

String类型,获取VersionId为xxx版本的对象ACL。

PutObjectVersionAcl

VersionId

String类型,设置VersionId。

acl

String类型,设置VersionId为xxx版本的对象ACL。上传对象时在头域中可以包含的Canned ACL,取值范围为private|public-read|public-read-write|authenticated-read|bucketowner-read|bucket-owner-full-control|log-delivery-write。

DeleteObjectVersion

VersionId

String类型,删除VersionId为xxx版本的对象。