桶策略

桶策略

桶策略是作用于所配置的OBS桶及桶内对象的。OBS桶拥有者通过桶策略可为IAM用户或其他账号授权桶及桶内对象的操作权限。

• 创建桶和获取桶列表这两个服务级的操作权限，需要通过IAM权限配置。
• 由于缓存的存在，配置桶策略后，最长需要等待5分钟策略才能生效。

桶策略模板：

OBS控制台预置了八种常用典型场景的桶策略模板，用户可以使用模板创建桶策略，快速完成桶策略配置。

选择使用模板创建时，部分模板需要指定被授权用户或资源范围，您也可以在原模板基础上修改被授权用户、资源范围、模板动作以及增加桶策略执行的条件。

自定义桶策略：

你也可以根据实际业务场景的定制化需求，不使用预置桶策略模板，自定义创建桶策略。自定义桶策略由效力、被授权用户、资源、动作和条件5个桶策略基本元素共同决定。详细请参见OBS权限控制要素。

对象策略

对象策略即为桶策略中针对对象的策略，桶策略中针对对象的策略是通过配置资源来实现对象匹配的，资源可配置“*”（表示所有对象）或对象前缀（表示对象集）。对象策略则是直接选定对象后，配置到选定的对象资源的策略。

对象策略模板：

OBS控制台预置了两种常用典型场景的对象策略模板，用户可以使用模板创建对象策略，快速完成对象策略配置。

选择使用模板创建时，部分模板需要指定被授权用户，您也可以在原模板基础上修改被授权用户、模板动作以及增加对象策略执行的条件。资源范围即为所需配置对象策略的对象，系统自动指定，无需修改。

自定义对象策略：

你也可以根据实际业务场景的定制化需求，不使用预置对象策略模板，自定义创建对象策略。自定义对象策略由效力、被授权用户、资源、动作和条件5个桶策略基本元素共同决定，与桶策略类似，详细请参见桶策略参数说明。其中资源为已选择的对象，系统自动配置。

桶策略和对象策略之间的关系

对象策略即为桶策略中针对对象的策略，区别是对象策略只针对一个对象，桶策略中针对对象的策略可以配置多个对象或桶中所有对象。

桶策略应用场景

• 允许其他华为云账号访问OBS资源，可以使用桶策略的方式授权对应权限。
• 当不同的桶对于不同的IAM用户有不同的访问控制需求时，需使用桶策略分别授权IAM用户不同的权限。

桶策略通用配置方法

• 使用模板创建桶策略
• 自定义创建桶策略（可视化视图）
• 自定义创建桶策略（JSON视图）

桶策略样例

• 示例1：向IAM用户授予指定桶中所有对象的指定操作权限

  以下示例策略向账号b4bf1b36d9ca43d984fbcb9491b6fce9（账号ID）下的用户ID为71f3901173514e6988115ea2c26d1999的IAM用户授予PutObject和PutObjectAcl权限。

  {
      "Statement":[
      {
        "Sid":"AddCannedAcl",
        "Effect":"Allow",
        "Principal": {"ID": ["domain/b4bf1b36d9ca43d984fbcb9491b6fce9:user/71f3901173514e6988115ea2c26d1999"]},
        "Action":["PutObject","PutObjectAcl"],
        "Resource":["examplebucket/*"]
      }
    ]
  }

• 示例2：向IAM用户授予指定桶的所有操作权限

  以下示例策略向账号b4bf1b36d9ca43d984fbcb9491b6fce9（账号ID）下的用户ID为71f3901173514e6988115ea2c26d1999的IAM用户授予examplebucket的所有操作权限（包含桶操作与对象操作）。

  {
      "Statement":[
      {
        "Sid":"test",
        "Effect":"Allow",
        "Principal": {"ID": ["domain/b4bf1b36d9ca43d984fbcb9491b6fce9:user/71f3901173514e6988115ea2c26d1999"]},
        "Action":["*"],
        "Resource":[
          "examplebucket/*",
          "examplebucket"
        ]
      }
    ]
  }

• 示例3：向OBS用户授予除删除对象外的所有对象操作权限

  以下示例策略向账号b4bf1b36d9ca43d984fbcb9491b6fce9（账号户ID）下的用户ID为71f3901173514e6988115ea2c26d1999的IAM用户授予examplebucket除删除对象外的所有对象操作权限。

  {
      "Statement":[
      {
        "Sid":"test1",
        "Effect":"Allow",
        "Principal": {"ID": ["domain/b4bf1b36d9ca43d984fbcb9491b6fce9:user/71f3901173514e6988115ea2c26d1999"]},
        "Action":["*"],
        "Resource":["examplebucket/*"]
      },
      {
        "Sid":"test2",
        "Effect":"Deny",
        "Principal": {"ID": ["domain/b4bf1b36d9ca43d984fbcb9491b6fce9:user/71f3901173514e6988115ea2c26d1999"]},
        "Action":["DeleteObject"],
        "Resource":["examplebucket/*"]
      }
    ]
  }

• 示例4：向所有账号授予指定对象的只读权限

  下面的示例策略向所有账号授予examplebucket桶中exampleobject的GetObject（下载对象）权限。此权限允许任何人读取对象exampleobject的数据。

  {
      "Statement":[
      {
        "Sid":"AddPerm",
        "Effect":"Allow",
        "Principal": "*",
        "Action":["GetObject"],
        "Resource":["examplebucket/exampleobject"]
      }
    ]
  }

• 示例5：限制对特定IP地址的访问权限

  以下示例向任何用户授予对指定桶中的对象执行任何OBS操作的权限。但是，请求必须来自条件中指定的IP地址范围。此语句的条件确定允许的IP地址范围为192.168.0.*，只有一个例外：192.168.0.1。

  Condition块使用IpAddress和NotIpAddress条件以及SourceIp条件键（这是OBS范围的条件键）。另请注意SourceIp值使用RFC 4632中描述的CIDR表示法。

  {
    "Statement": [
      {
        "Sid": "IPAllow",
        "Effect": "Allow",
        "Principal": "*",
        "Action": "*",
        "Resource": "examplebucket/*",
        "Condition": {
           "IpAddress": {"SourceIp": "192.168.0.0/24"},
           "NotIpAddress": {"SourceIp": "192.168.0.1/32"} 
        } 
      } 
    ]
  }