文档首页/ 迁移中心 MgC/ 常见问题/ 存储迁移/ 如何获取跨区域存储迁移源端桶权限和目的端桶权限？

更新时间：2026-03-13 GMT+08:00

查看PDF

如何获取跨区域存储迁移源端桶权限和目的端桶权限？

源端桶权限获取

请根据IAM用户的实际情况选择源端桶权限获取方式。

基于IAM旧版细粒度OBS权限，配置方式如下：

登录统一身份认证服务控制台。
在“统一身份认证服务”导航树，单击“权限管理>权限”，进入权限页面。
单击右上角“创建自定义策略”，进入创建自定义策略页面。
填写策略名称，策略配置方式选择“JSON视图”。

将以下内容拷贝到策略内容，单击“确定”按钮。

{
  "Version": "1.1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "obs:bucket:GetBucketPolicy",
        "obs:bucket:GetLifecycleConfiguration",
        "obs:bucket:GetBucketLocation",
        "obs:bucket:GetBucketWebsite",
        "obs:bucket:GetBucketCORS",
        "obs:bucket:GetDirectColdAccessConfiguration",
        "obs:bucket:GetBucketLogging",
        "obs:bucket:GetBucketPublicAccessBlock",
        "obs:bucket:GetReplicationConfiguration",
        "obs:bucket:GetBucketVersioning",
        "obs:bucket:GetBucketQuota",
        "obs:bucket:HeadBucket",
        "obs:bucket:GetBucketAcl",
        "obs:bucket:GetBucketTagging",
        "obs:bucket:GetBucketStoragePolicy",
        "obs:bucket:GetEncryptionConfiguration",
        "obs:bucket:ListAllMyBuckets",
        "obs:bucket:ListBucket",
        "obs:object:GetObject",
        "obs:object:RestoreObject",
        "obs:object:GetObjectAcl",
        "obs:object:GetAccessLabel"
      ]
    }
  ]
}

{
  "Version": "1.1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:cmk:decrypt",
        "kms:cmk:create",
        "kms:cmk:encrypt",
        "kms:dek:create",
        "kms:dek:decrypt",
        "kms:cmk:list",
        "kms:dek:encrypt"
      ]
    }
  ]
}

自定义策略创建完成后，还需要完成以下操作，用户才能拥有相应权限。

如迁移用户已加入用户组，将自定义策略授权到该用户组，迁移用户即可拥有自定义策略权限。授权方式参见给用户组授权。
如迁移用户未加入用户组，请进行如下操作。
1. 创建用户组，并给用户组授权自定义策略，详细步骤参见创建用户组并授权。
2. 将用户添加到用户组，用户将拥有用户组相应的权限（即自定义策略），详细步骤请参见用户组添加用户。

迁移用户的“访问方式”必须同时勾选“编程访问”和“管理控制台访问”。
授权后需等待15-30分钟才可生效。

基于IAM新版细粒度OBS权限，配置方式如下：

登录统一身份认证服务控制台。
在“统一身份认证服务”导航树，单击“权限管理>权限”，进入权限页面。
单击右上角“创建自定义策略”，进入创建自定义策略页面。
填写策略名称，策略配置方式选择“JSON视图”。

将以下内容拷贝到策略内容，单击“确定”按钮。

{
  "Version": "5.0",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "obs:bucket:getBucketAcl",
        "obs:bucket:getBucketCORS",
        "obs:bucket:getBucketLocation",
        "obs:bucket:getBucketLogging",
        "obs:bucket:getBucketPolicy",
        "obs:bucket:getBucketPublicAccessBlock",
        "obs:bucket:getBucketQuota",
        "obs:bucket:getBucketStoragePolicy",
        "obs:bucket:getBucketTagging",
        "obs:bucket:getBucketVersioning",
        "obs:bucket:getBucketWebsite",
        "obs:bucket:getDirectColdAccessConfiguration",
        "obs:bucket:getEncryptionConfiguration",
        "obs:bucket:getLifecycleConfiguration",
        "obs:bucket:getReplicationConfiguration",
        "obs:bucket:headBucket",
        "obs:bucket:listAllMyBuckets",
        "obs:bucket:listBucket",
        "obs:object:getAccessLabel",
        "obs:object:getObject",
        "obs:object:getObjectAcl",
        "obs:object:restoreObject",
        "kms:cmk:create",
        "kms:cmk:decryptDataKey",
        "kms:cmk:list"
      ]
    }
  ]
}

自定义策略创建完成后，还需要完成以下操作，用户才能拥有相应权限。

如迁移用户已加入用户组，将自定义策略授权到该用户组，迁移用户即可拥有自定义策略权限。授权方式参见给用户组授权。
如迁移用户未加入用户组，请进行如下操作。
1. 创建用户组，并给用户组授权自定义策略，详细步骤参见创建用户组并授权。
2. 将用户添加到用户组，用户将拥有用户组相应的权限（即自定义策略），详细步骤请参见用户组添加用户。

迁移用户的“访问方式”必须同时勾选“编程访问”和“管理控制台访问”。
授权后需等待15-30分钟才可生效。

目的端桶权限获取

请根据IAM用户的实际情况选择目的端桶权限获取方式。

基于IAM旧版细粒度OBS权限，配置方式如下：

登录统一身份认证服务控制台。
在“统一身份认证服务”导航树，单击“权限管理>权限”，进入权限页面。
单击右上角“创建自定义策略”，进入创建自定义策略页面。
填写策略名称，策略配置方式选择“JSON视图”。

将以下内容拷贝到策略内容，单击“确定”按钮。

{
  "Version": "1.1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "obs:bucket:GetBucketLocation",
        "obs:bucket:ListBucketMultipartUploads",
        "obs:bucket:ListBucket",
        "obs:object:PutObject",
        "obs:object:PutObjectAcl",
        "obs:object:GetObject",
        "obs:object:ModifyObjectMetaData",
        "obs:object:RestoreObject",
        "obs:object:DeleteAccessLabel",
        "obs:object:PutAccessLabel"
      ],
      "Resource": [
        "OBS:*:*:bucket:*",
        "OBS:*:*:object:*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "obs:bucket:PutLifecycleConfiguration",
        "obs:bucket:PutBucketAcl",
        "obs:bucket:PutBucketTagging",
        "obs:bucket:PutBucketStoragePolicy",
        "obs:bucket:PutBucketLogging",
        "obs:bucket:PutReplicationConfiguration",
        "obs:bucket:PutBucketPolicy",
        "obs:bucket:HeadBucket",
        "obs:bucket:PutDirectColdAccessConfiguration",
        "obs:bucket:PutBucketWebsite",
        "obs:bucket:PutBucketQuota",
        "obs:bucket:PutBucketVersioning",
        "obs:bucket:PutBucketCORS",
        "obs:bucket:PutBucketPublicAccessBlock",
        "obs:bucket:CreateBucket",
        "obs:bucket:ListAllMyBuckets",
        "obs:bucket:PutEncryptionConfiguration"
      ]
    }
  ]
}

{
  "Version": "1.1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:cmk:decrypt",
        "kms:cmk:create",
        "kms:cmk:encrypt",
        "kms:dek:create",
        "kms:dek:decrypt",
        "kms:cmk:list",
        "kms:dek:encrypt"
      ]
    }
  ]
}

自定义策略创建完成后，还需要完成以下操作，用户才能拥有相应权限。

如迁移用户已加入用户组，将自定义策略授权到该用户组，迁移用户即可拥有自定义策略权限。授权方式参见给用户组授权。
如迁移用户未加入用户组，请进行如下操作。
1. 创建用户组，并给用户组授权自定义策略，详细步骤参见创建用户组并授权。
2. 将用户添加到用户组，用户将拥有用户组相应的权限（即自定义策略），详细步骤请参见用户组添加用户。

迁移用户的“访问方式”必须同时勾选“编程访问”和“管理控制台访问”。
授权后需等待15-30分钟才可生效。

基于IAM新版细粒度OBS权限，配置方式如下：

登录统一身份认证服务控制台。
在“统一身份认证服务”导航树，单击“权限管理>权限”，进入权限页面。
单击右上角“创建自定义策略”，进入创建自定义策略页面。
填写策略名称，策略配置方式选择“JSON视图”。

将以下内容拷贝到策略内容，单击“确定”按钮。

{
  "Version": "5.0",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "obs:bucket:getBucketLocation",
        "obs:bucket:listBucket",
        "obs:bucket:listBucketMultipartUploads",
        "obs:object:deleteAccessLabel",
        "obs:object:getObject",
        "obs:object:modifyObjectMetadata",
        "obs:object:putAccessLabel",
        "obs:object:putObject",
        "obs:object:putObjectAcl",
        "obs:object:restoreObject"
      ],
      "Resource": [
        "obs:*:*:bucket:*",
        "obs:*:*:object:*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "obs:bucket:createBucket",
        "obs:bucket:headBucket",
        "obs:bucket:listAllMyBuckets",
        "obs:bucket:putBucketAcl",
        "obs:bucket:putBucketCORS",
        "obs:bucket:putBucketLogging",
        "obs:bucket:putBucketPolicy",
        "obs:bucket:putBucketPublicAccessBlock",
        "obs:bucket:putBucketQuota",
        "obs:bucket:putBucketStoragePolicy",
        "obs:bucket:putBucketTagging",
        "obs:bucket:putBucketVersioning",
        "obs:bucket:putBucketWebsite",
        "obs:bucket:putDirectColdAccessConfiguration",
        "obs:bucket:putEncryptionConfiguration",
        "obs:bucket:putLifecycleConfiguration",
        "obs:bucket:putReplicationConfiguration"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:cmk:create",
        "kms:cmk:createDataKey",
        "kms:cmk:decryptDataKey",
        "kms:cmk:list"
      ]
    }
  ]
}

自定义策略创建完成后，还需要完成以下操作，用户才能拥有相应权限。

如迁移用户已加入用户组，将自定义策略授权到该用户组，迁移用户即可拥有自定义策略权限。授权方式参见给用户组授权。
如迁移用户未加入用户组，请进行如下操作。
1. 创建用户组，并给用户组授权自定义策略，详细步骤参见创建用户组并授权。
2. 将用户添加到用户组，用户将拥有用户组相应的权限（即自定义策略），详细步骤请参见用户组添加用户。

迁移用户的“访问方式”必须同时勾选“编程访问”和“管理控制台访问”。
授权后需等待15-30分钟才可生效。

父主题：存储迁移

意见反馈

文档内容是否对您有帮助？

有帮助没帮助

提供反馈

提交成功！非常感谢您的反馈，我们会继续努力做到更好！您可在我的云声建议查看反馈及问题处理状态。

系统繁忙，请稍后重试

在使用文档中是否遇到以下问题

内容与产品页面不一致

内容不易理解

缺失示例代码

步骤不可操作

搜不到想要的内容

缺少最佳实践

意见反馈（选填）

0/500

请至少选择一项反馈信息并填写问题反馈

字符长度不能超过500

直接提交取消

如您有其它疑问，您也可以通过华为云社区问答频道来与我们联系探讨

盘古Doer提问云社区提问

如何获取跨区域存储迁移源端桶权限和目的端桶权限？

源端桶权限获取

目的端桶权限获取

相关文档

意见反馈

文档内容是否对您有帮助？