配置双端固定实现VPC粒度的访问控制

VPCEP策略遵循最小权限原则，如果策略没有显式“Allow（允许）”，则默认“Deny（拒绝）”。在购买终端节点时，系统将会为该终端节点生成一个默认策略，该策略允许对OBS的完全访问，您可以在创建终端节点时修改默认策略，还可以在创建完成后，根据需要随时调整策略。针对VPCEP策略，您需要注意：

• VPC终端节点策略，配置后需等待10分钟才可生效，请耐心等待。
• VPC终端节点策略与IAM权限存在部分差异：VPC终端节点策略中不含“sid”字段和“Condition”标签。

VPCEP策略由Effect（作用）、Action（授权项）、Resource（资源类型）组成：

图4 示例一

场景描述：

VPC1内的服务器只能下载桶A中的对象，不允许访问其他桶。桶A并未设置桶策略，所以其他VPC也可以访问桶A。

配置方法：

配置VPC1的终端节点策略如下：

入口：服务列表 > VPC终端节点 > 单击对应VPC终端节点ID（OBS双端固定的终端节点） > 策略 > 编辑

[
    {
        "Action": [
            "obs:object:GetObject"
        ],
        "Resource": [
            "obs:*:*:object:bucketA/*"
        ],
        "Effect": "Allow"
    }
]

场景描述：

VPC1内的服务器只能下载桶A中的对象，不允许访问其他桶。

除了桶A中的名为myobject对象外，允许VPC1内的服务器下载桶A中所有其他对象。

配置方法：

配置VPC1的终端节点策略如下：

入口：服务列表 > VPC终端节点 > 单击对应VPC终端节点ID（OBS双端固定的终端节点） > 策略 > 编辑

[
    {
        "Action": [
            "obs:object:GetObject"
        ],
        "Resource": [
            "obs:*:*:object:bucketA/*"
        ],
        "Effect": "Allow"
    },
    {
        "Action": [
            "obs:object:GetObject"
        ],
        "Resource": [
            "obs:*:*:object:bucketA/myobject"
        ],
        "Effect": "Deny"
    }
]

图5 示例三

场景描述：

只允许VPC1内的服务器上传/下载桶A中的对象，并且只允许桶A中的对象被VPC1内的服务器上传/下载。

其中VPC1的ID为：4dad1f75-0361-4aa4-ac75-1ffdda3a0fec。

配置方法：

1. 配置VPC1的终端节点策略如下：
   入口：服务列表 > VPC终端节点 > 单击对应VPC终端节点ID（OBS双端固定的终端节点） > 策略 > 编辑

   [
       {
           "Action": [
               "obs:object:GetObject",
   	    "obs:object:PutObject"
           ],
           "Resource": [
               "obs:*:*:object:bucketA/*"
           ],
           "Effect": "Allow"
       }
   ]

2. 配置桶A的桶策略如下：

   配置方法请参见自定义创建桶策略（JSON视图）。

   需要配置两个桶策略：

   • 桶策略1：允许VPC1内的服务器上传/下载桶A中的对象。

     其中statementId可自定义，domainId和userId需要设置为允许上传下载的账号ID和用户ID。相关说明请参见桶策略。

     {
         "Statement": [
             {
                 "Sid": "statementId",
                 "Effect": "Allow",
                 "Principal": {
                     "ID": ["domain/domainId:user/userId"]
                 },
                 "Action": ["GetObject", "PutObject"],
                 "Resource": ["bucketA/*"],
                 "Condition": {
                     "StringEquals": {
                         "SourceVpc": ["4dad1f75-0361-4aa4-ac75-1ffdda3a0fec"]
                     }
                 }
             }
         ]
     }

   • 桶策略2：除了VPC1外的其他VPC内的服务器均不能操作桶A及桶中的对象。

     其中DenyReqNotFromVpc可自定义。

     {
         "Statement": [
             {
                 "Sid": "DenyReqNotFromVpc",
                 "Effect": "Deny",
                 "Principal": {
                     "ID": ["*"]
                 },
                 "Action": "*",
                 "Resource": ["bucketA", "bucketA/*"],
                 "Condition": {
                     "StringNotEquals": {
                         "SourceVpc": ["4dad1f75-0361-4aa4-ac75-1ffdda3a0fec"]
                     }
                 }
             }
         ]
     }

     

     设置上述桶策略后，被授权的IAM用户可以正常通过SDK或API进行上传下载操作。如果希望在控制台或OBS Browser+上进行上传下载，还需要在IAM权限中额外配置obs:bucket:ListAllMyBuckets和obs:bucket:ListBucket权限，否则访问控制台和OBS Browser+时会报错，无法看到桶和桶内对象。

场景描述：

当同时设置了VPC1的终端节点策略与桶A的桶策略后，由于双端固定的限制，其它云服务包括OBS就无法访问桶A。如果想要授权其它云服务能够访问桶A，可以通过委托授权的方式。

其中VPC1的ID为：4dad1f75-0361-4aa4-ac75-1ffdda3a0fec。

配置方法：

1. 配置VPC1的终端节点策略如下：

   只允许VPC1内的服务器上传/下载桶A中的对象。

   入口：服务列表 > VPC终端节点 > 单击对应VPC终端节点ID（OBS双端固定的终端节点） > 策略 > 编辑

   [
       {
           "Action": [
               "obs:object:GetObject",
   	    "obs:object:PutObject"
           ],
           "Resource": [
               "obs:*:*:object:bucketA/*"
           ],
           "Effect": "Allow"
       }
   ]

2. 创建IAM委托，委托其它云服务访问桶A。例如，委托OBS，绑定系统策略OBS FullAccess，也可以创建自定义策略并绑定该委托。
3. 配置桶A的桶策略如下：
   只允许桶A中的对象被VPC1内的服务器或者委托名为testAgencyName所对应授权的云服务访问桶A中的对象。其中委托名以步骤2中实际创建的IAM委托名称为准。

   {
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {"ID": ["*"]},
               "Action": ["*"],
               "Resource": ["bucketA/*"],
               "Condition": {
                   "StringEquals": {
                       "SourceVpc": ["4dad1f75-0361-4aa4-ac75-1ffdda3a0fec"]
                   }
               }
           },
           {
               "Effect": "Allow",
               "Principal": {"ID": ["*"]},
               "Action": ["*"],
               "Resource": ["bucketA/*"],
               "Condition": {
                   "StringEquals": {
                       "ServiceAgency": ["testAgencyName"]
                   }
               }
           }
       ]
   }

   同时，桶策略也可按如下配置达到同样的效果：

   {
       "Statement": [
           {
               "Effect": "Deny",
               "Principal": {"ID": ["*"]},
               "Action": ["*"],
               "Resource": ["bucketA/*"],
               "Condition": {
                   "StringNotEquals": {
                       "SourceVpc": ["4dad1f75-0361-4aa4-ac75-1ffdda3a0fec"],
                       "ServiceAgency": ["testAgencyName"]
                   }
               }
           }
       ]
   }

本步骤将创建名为example-vpc1、example-vpc2的两个VPC。

进入VPC控制台创建虚拟私有云页面，根据界面提示配置VPC参数，要求区域选择“中国-香港”，其他选项没有特殊要求，保持默认即可，您也可以根据业务需求自定义，详情可参见创建虚拟私有云和子网。

本步骤将创建名为example-ecs1、example-ecs2的2个ECS云服务器，并将example-ecs1绑定example-vpc1，将example-ecs2绑定example-vpc2。

1. 进入ECS控制台自定义购买页面。
2. 根据界面提示配置ECS参数，“区域”选择“中国-香港”。
3. 选择“操作系统”，此处以选择Linux镜像Ubuntu 24.04 server 64bit(10GiB)为例。
4. “网络”选择步骤一中创建的VPC，example-ecs1绑定example-vpc1，example-ecs2绑定example-vpc2。

   

5. 其他选项没有特殊要求，保持默认即可，您也可以根据业务需求自定义，详情可参见自定义购买ECS。
6. 单击右下角“立即购买”。

本步骤将创建名为example-bucket-a的对象桶，并向桶中上传名为test.txt的对象。

1. 创建名为example-bucket-a的对象桶。

   进入OBS控制台创建桶页面，区域选择“中国-香港”，“存储类型”选择“标准存储”，“桶策略”选择“私有”，其他选项保持默认，您也可以根据业务需求自定义，详情可参见创建桶。

   

2. 上传名为test.txt的对象到example-bucket-a桶中。上传对象详细步骤详见上传对象。

本步骤将为桶配置桶策略，该桶策略仅允许来自于example-vpc1内的服务器下载桶example-bucket-a中的对象，其他VPC内的服务器均不能操作桶example-bucket-a及桶中的对象。

1. 登录OBS控制台，在左侧导航栏选择“对象存储”。
2. 在桶列表中，单击步骤三中创建的桶example-bucket-a，进入“对象”页面。
3. 在左侧导航栏，单击“权限控制 > 桶策略”。
4. 单击“创建”，选择“JSON视图”页签。
5. 配置第1条桶策略：允许example-vpc1内的服务器下载桶example-bucket-a中的对象。

   表3 桶策略参数说明

   参数名称	说明
   domainId	允许下载example-bucket-a桶中对象的账号ID，获取账号ID请参见如何获取账号ID？
   userId	允许下载example-bucket-a桶中对象的IAM用户ID，获取IAM用户ID请参见如何获取IAM用户ID？
   VPC ID of example-vpc1	允许下载example-bucket-a桶中对象的VPC ID，此处为example-vpc1的ID，如何获取VPC ID请参见获取虚拟私有云的ID信息。

   {
       "Statement": [
           {
               "Sid": "exampleSidId1",
               "Effect": "Allow",
               "Principal": {
                   "ID": ["domain/domainId:user/userId"]
               },
               "Action": ["GetObject"],
               "Resource": ["example-bucket-a/*"],
               "Condition": {
                   "StringEquals": {
                       "SourceVpc": ["VPC ID of example-vpc1"]
                   }
               }
           }
       ]
   }

6. 单击“创建”，完成第1条桶策略配置。
7. 单击“创建”，选择“JSON视图”页签，开始第2条桶策略创建。
8. 配置第2条桶策略：除了example-vpc1外的其他VPC内的服务器均不能操作桶example-bucket-a及桶中的对象。
   VPC ID of example-vpc1为example-vpc1的ID，如何获取VPC ID请参见获取虚拟私有云的ID信息。

   {
       "Statement": [
           {
               "Sid": "exampleSidId2",
               "Effect": "Deny",
               "Principal": {
                   "ID": ["*"]
               },
               "Action": "*",
               "Resource": ["example-bucket-a", "example-bucket-a/*"],
               "Condition": {
                   "StringNotEquals": {
                       "SourceVpc": ["VPC ID of example-vpc1"]
                   }
               }
           }
       ]
   }

   配置了本条桶策略后，由于Principal为通配符星号（*）且包含Condition，因此会对所有访问者生效，包括桶拥有者如果不是从指定VPC访问，访问请求将被拒绝。如果您不想限制桶拥有者的访问，可以在桶策略中增加一个条件以排除对桶拥有者的限制，示例如下:

   IAM user ID of bucket owner为桶拥有者的IAM用户ID，如何获取IAM用户ID请参见获取IAM用户ID。

   {
       "Statement": [
           {
               "Sid": "exampleSidId2",
               "Effect": "Deny",
               "Principal": {
                   "ID": ["*"]
               },
               "Action": "*",
               "Resource": ["example-bucket-a", "example-bucket-a/*"],
               "Condition": {
                   "StringNotEquals": {
                       "SourceVpc": ["VPC ID of example-vpc1"],
                       "g:UserId": ["IAM user ID of bucket owner"]
                   }
               }
           }
       ]
   }

9. 单击“创建”，完成第2条桶策略配置。

本步骤将创建名为example-vpcep1、example-vpcep2的两个VPC终端节点，并将example-vpcep1绑定example-vpc1，将example-vpcep2绑定example-vpc2。

1. 进入VPCEP控制台终端节点列表页。
2. 单击右上角“购买终端节点”，进入购买页。
3. 选择终端节点区域。要求与VPC、OBS桶所在区域保持一致。
4. 选择计费模式为“按需计费”。
5. 选择服务。选择“按名称查找服务”。
6. 获取服务名称并验证。

   提交工单获取服务名称，提交工单时同步提供OBS桶名给技术支持人员。将从工单中获得的服务名称填写到“服务名称”中，单击“验证”。

7. 设置虚拟私有云。

   “虚拟私有云”选择步骤一中创建的VPC。example-vpcep1选择example-vpc1，example-vpcep2选择example-vpc2。路由表和子网保持默认设置。

   

8. 设置终端节点策略。
   启用“策略”开关，策略编辑页面填写终端节点策略。以下方策略为例，允许example-vpc1中的ECS可以向example-bucket-a桶中上传和下载对象，example-vpcep1和example-vpcep2都填写以下示例中的策略。

   [
       {
           "Action": [
               "obs:object:GetObject",
   	    "obs:object:PutObject"
           ],
           "Resource": [
               "obs:*:*:object:example-bucket-a/*"
           ],
           "Effect": "Allow"
       }
   ]

9. 单击右下角的“立即购买”。
10. 确认终端节点配置，单击“提交”。

登录example-ecs1云服务，下载example-bucket-a中的对象。因为example-vpcep1允许访问桶example-bucket-a，并且桶策略允许来自example-vpc1的访问，所以预期操作结果是下载对象成功。

1. 登录example-ecs1云服务器。

   本例通过CloudShell登录Linux ECS，如果您想使用其他登录方式请参考Linux ECS登录方式概述。

2. 在ECS云服务器中下载并安装obsutil，详细操作参见下载和安装obsutil。
3. 初始化obsutil。

   使用第1条桶策略中允许访问桶example-bucket-a的账号，初始化obsutil，详细操作参见obsutil初始化配置。如何获取访问密钥AK/SK详见获取AK/SK。

   

4. 下载对象。执行如下命令，下载example-bucket-a中的test.txt文档到本地：

   ./obsutil cp obs://example-bucket-a/test.txt  test.txt

   展示如下回显，说明下载成功，example-ecs1可以正常访问example-bucket-a。

   

登录example-ecs2云服务，下载example-bucket-a中的对象。因为example-bucket-a的桶策略拒绝了来自example-vpc2的访问，所以预期操作结果是下载对象的请求被拒绝，下载失败。

1. 登录example-ecs2云服务器。

   本例通过CloudShell登录Linux ECS，如果您想使用其他登录方式请参考Linux ECS登录方式概述。

2. 在ECS云服务器中下载并安装obsutil，详细操作参见下载和安装obsutil。
3. 初始化obsutil。

   使用第1条桶策略中允许访问桶example-bucket-a的账号，初始化obsutil，详细操作参见obsutil初始化配置。

4. 下载对象。执行如下命令，下载example-bucket-a中的test.txt文档到本地：

   ./obsutil cp obs://example-bucket-a/test.txt  test.txt

   展示如下回显，说明下载失败，来自example-ecs2 的下载请求被拒绝，操作结果符合预期。

   

1. 进入VPCEP控制台终端节点列表页。
2. 单击要更新策略的终端节点，进入终端节点详情页。
3. 选择“策略”页签。
4. 单击“编辑”。
5. 配置VPCEP策略，策略语法参见VPCEP策略语法说明。
6. 单击“确认”。