桶策略参数说明

Sid

statement Id，可选关键字，描述statement的字符串。

可选

Principal

可选关键字，被授权人，指定本条statement权限针对的Domain以及User，支持通配符“*”，表示所有用户。当对Domain下所有用户授权时，Principal格式为domain/domainid:user/*。当对某个User进行授权时，Principal格式为domain/domainid:user/userId或者domain/domainid:user/userName。

如果通过控制台进行桶清单配置，控制台会自动生成目标桶的桶策略。目标桶的桶策略中Principal取值则固定为{"Service": "obs"}。关于桶清单的详细介绍请参见桶清单说明。

可选，Principal与NotPrincipal选其一

NotPrincipal

可选关键字，不被授权人，statement匹配除此之外的其他人。取值同Principal。

示例：拒绝除了某个指定IAM用户以外的其他用户执行所有操作

domain_id是账号ID，use_id是IAM用户ID，如何获取请参见获取账号ID、IAM用户ID。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

{
    "Statement": [
        {
            "Effect": "Deny", 
            "Action": ["*"], 
            "Resource": [
                "examplebucket/*", 
                "examplebucket"
            ], 
            "NotPrincipal": {
                "ID": [
                    "domain/domain_id:user/use_id", 
                    "domain/domain_id:root"
                ]
            }
        }
     ]
}

可选，NotPrincipal与Principal选其一

Action

可选关键字，指定本条statement作用的操作，Action字段为OBS支持的所有操作集合，以字符串形式表示，不区分大小写。支持通配符“*”，表示该资源能进行的所有操作。例如："Action":["List*", "Get*"]。

可选，Action与NotAction选其一

NotAction

可选关键字，指定一组操作，statement匹配除该组操作之外的其他操作。 取值同Action。

可选，NotAction与Action选其一

Effect

必选关键字，效力，指定本条statement的权限是允许还是拒绝，Effect的值必须为Allow或者Deny。

必选

Resource

可选关键字，指定statement起作用的一组资源，支持通配符“*”，表示所有资源。

可选，Resource与NotResource选其一

NotResource

可选关键字，指定一组资源，statement匹配除该组资源之外的其他资源。 取值同Resource。

可选，NotResource与Resource选其一

Condition

可选关键字，本条statement生效的条件。

可选

String

StringEquals

字符串匹配，简化为：streq

StringNotEquals

字符串不匹配，简化为：strneq

StringEqualsIgnoreCase

忽略大小写的字符串匹配，简化为：streqi

StringNotEqualsIgnoreCase

忽略大小写的字符串不匹配，简化为：strneqi

StringLike

宽松地区分大小写的匹配。这些值可以在字符串中的任何地方包括一个多字符匹配的通配符(*)和单字符匹配通配符(?)。简化为：strl

StringNotLike

非宽松区分大小写的匹配。这些值可以在字符串中的任何地方包括一个多字符匹配的通配符(*)和单字符匹配通配符(?)。简化为：strnl

Numeric

NumericEquals

相等，简化为：numeq

Numeric表示数值类型

NumericNotEquals

不相等，简化为：numneq

NumericLessThan

小于，简化为：numlt

NumericLessThanEquals

小于等于，简化为：numlteq

NumericGreaterThan

大于，简化为：numgt

NumericGreaterThanEquals

大于等于，简化为：numgteq

Date

（Date格式要求符合ISO 8601规范，例如：2015-07-01T12:00:00Z）

DateEquals

日期时间相等，简化为：dateeq

DateNotEquals

日期时间不相等，简化为：dateneq

DateLessThan

日期时间小于，简化为：datelt

DateLessThanEquals

日期时间小于等于，简化为：datelteq

DateGreaterThan

日期时间大于，简化为：dategt

DateGreaterThanEquals

日期时间大于等于，简化为：dategteq

Boolean

Bool

严格布尔值相等

IP address

IpAddress

指定的IP或IP范围

NotIpAddress

除指定的IP或IP范围外所有IP

ForAllValues

（请求中的所有值）

测试请求集的每个成员的值是否为条件键集的子集。如果请求中的每个键值均与策略中的至少一个值匹配，则条件返回true。

此策略描述的是对于请求者资源标签必须是aa、bb或者cc，那么策略生效。

假如请求者发起共享镜像的组织路径：aa、cc，策略匹配成功。

假如请求者发起共享镜像的组织路径：aa、bb、cc、dd，策略匹配失败。

"Condition": {
    "ForAllValues:StringEquals": {
        "g:ResourceTag/test": [
            "aa",
            "bb",
            "cc"
        ]
    }
}

ForAnyValue

（请求中的任何值）

测试请求值集的至少一个成员是否与条件键值集的至少一个成员匹配。如果请求中的任何一个键值与策略中的任何一个条件值匹配，则条件返回true。对于没有匹配的键或空数据集，条件返回false。

此策略描述的是对于请求者资源标签中任一一个标签是aa、bb或者cc，那么策略生效。

假如请求者发起共享镜像的组织路径：aa、dd，策略匹配成功。

假如请求者发起共享镜像的组织路径：dd、ee，策略匹配失败。

"Condition": {
    "ForAnyValue:StringEquals": {
        "g:ResourceTag/test": [
            "aa",
            "bb",
            "cc"
         ]
    }
}

g:CalledVia

String

是

用于控制跨服务访问。访问OBS的请求，可能来源于其他服务的请求转发，g:CalledVia会记录转发请求链中服务列表，如图1所示。例如用户请求通过ModelArts服务访问OBS下载对象，g:CalledVia会记录"service.ModelArts"。

图1 g:CalledVia

示例：表示仅允许通过ModelArts服务发起的请求调用OBS的下载对象API。

    "Condition": {
        "ForAnyValue:StringEquals": {
            "g:CalledVia": "service.ModelArts"
	 }
    }

g:CalledViaFirst

String

否

与g:CalledVia相同，特指g:CalledVia属性中的第一个元素，即第一个转发用户请求的服务。

g:CalledViaLast

String

否

与g:CalledVia相同，该属性特指g:CalledVia属性中的最后一个元素，即最后一个转发用户请求的服务。

g:ViaService

Boolean

否

指该请求是否是由云服务通过Impersonate协议代表用户身份发起的，当且仅当g:CalledVia属性非空时，该属性值为true。

• true：是由云服务发起
• false：不是由云服务发起

g:PrincipalIsService

Boolean

否

指请求者身份是否是云服务，可以通过该属性控制只有云服务身份才能访问指定API。

g:PrincipalServiceName

String

否

请求者的云服务名称。仅在请求者为云服务时，此条件键存在。

示例：表示条件键Condition在请求者是ModelArts服务时视为匹配。

    "Condition": {
        "StringEquals": {
            "g:PrincipalServiceName": "service.ModelArts"
        }
    }

g:CurrentTime

Date

否

服务器接收到请求的时间，格式为ISO 8601，例如：2012-11-11T23:59:59Z。

CurrentTime

Date

否

同g:CurrentTime。

EpochTime

Numeric

否

服务器接收到请求的时间，格式为Unix 时间戳，即从1970.01.01 00:00:00 UTC开始到目标时间所经过的 “秒数”，不考虑闰秒。

g:TokenIssueTime

Date

否

指访问凭据中的STSToken的签发时间。

g:DomainName

String

否

请求者的账号名称。如何获取请参见获取账号名称。

g:DomainId

String

否

请求者的账号ID。如何获取请参见获取账号ID。

g:PrincipalAccount

String

否

与g:DomainId属性完全一致。

g:PrincipalType

String

否

指请求者的身份主体类型，共有三种类型：User、AssumedAgency、ExternalUser。当以长期IAM凭据访问时，该属性取值为User；当以IAM委托会话访问时，取值为AssumedAgency；当以虚拟联邦用户访问时，取值为ExternalUser。

g:PrincipalUrn

String

否

请求者身份的URN。不同身份类型的URN格式如下：

IAM用户：iam::<domain-id>:user:<user-name>

IAM委托：sts::<domain-id>:assumed-agency:<agency-name>/<session-name>

虚拟联邦用户：sts::<domain-id>:external-user:<idp-id>/<session-name>

相关参数如何获取请参见获取domain-id（账号ID）、user-name（IAM用户名）、agency-name（委托名），session-name为获取委托的临时访问密钥和securitytoken时填写的委托方对应的企业用户名。

g:PrincipalId

String

否

指请求者的身份ID，不同身份类型的ID格式如下：

IAM 用户：<user-id>

IAM 委托：<agency-id>:<session-name>

虚拟联邦用户：<idp-id>:<session-name>

相关参数如何获取请参见user-id（IAM用户ID）、agency-id（委托ID），session-name为获取委托的临时访问密钥和securitytoken时填写的委托方对应的企业用户名。

g:UserName

String

否

请求者的IAM用户名。如何获取请参见获取IAM用户名。

g:UserId

String

否

请求者的IAM用户ID。如何获取请参见获取IAM用户ID。

g:PrincipalOrgId

String

否

指请求者身份所属的组织ID，用户可以通过该属性控制只有特定组织内的身份才能访问指定API，仅在请求者存在所属组织时，此条件键存在。

g:PrincipalOrgPath

String

否

请求者账号所属组织中的路径，可以通过该属性控制只有组织中特定层级的账号才能访问指定API。仅在请求者存在所属组织时，此条件键存在。一个账号的组织路径的格式如下：

<organization-id>/<root-id>/(<ou-id>/)*<account-id>

g:ResourceOrgId

String

否

桶拥有者的账号所在的组织ID。

g:ResourceOrgPath

String

否

桶拥有者的账号在组织中的路径。

g:ResourceAccount

String

否

桶拥有者的账号ID。如何获取请参见获取账号ID。

g:MFAPresent

Boolean

否

是否使用MFA多因素认证方式获取Token。

• true：使用MFA
• false：不使用MFA

g:MFAAge

Numeric

否

通过MFA多因素认证方式获取的STS Security Token的生效时长。该条件需要和g:MFAPresent一起使用。仅在使用MFA认证登录控制台访问，或使用MFA获取的委托会话发出请求时，此条件键存在。单位为秒。

g:Referer

String

否

请求携带的HTTP referer header，注意由于该属性是由客户端指定的，故不推荐使用它作为访问控制的安全依赖。

Referer

String

否

同g:Referer。

g:RequestedRegion

String

否

请求的目标区域region。如请求的目标云服务是全局服务时，需要设置为NULL；如请求的目标云服务是区域级服务时，则设置为对应的区域ID即可，例如cn-north-4。仅在请求为部分区域级服务时，此条件键存在。

g:RequestTag/<tag-key>

String

否

请求中携带的标签，标签键<tag-key>不区分大小写。当请求者在调用API时传入了标签（例如配置桶标签、创建桶同时配置标签等），可以通过此条件键检查此请求是否包含对应标签，您需要手动输入标签键。

g:ResourceTag/<tag-key>

String

否

请求所访问的资源身上携带的标签。用户可以通过该属性控制只能访问带有特定标签的资源。标签键<tag-key>不区分大小写，您需要手动输入标签键。

g:TagKeys

String

是

指请求中携带的所有标签的key组成的列表。

示例：请求携带的标签中，匹配"group"或"country"中的任何一个时，策略生效。

    "Condition": {
        "ForAnyValue:StringNotEquals": {
            "g:TagKeys": ["group", "country"]
        }
     }

g:SecureTransport

Boolean

否

请求是否使用了SSL协议。

• true：使用SSL协议
• false：不使用SSL协议

SecureTransport

Boolean

否

同g:SecureTransport

TlsVersion

Numeric

否

请求使用的TLS协议版本。

TlsVersion使用的约束限制有：

• 并行文件系统不支持配置 TlsVersion 条件键约束客户端请求使用的 TLS 协议版本。
• 如果客户端使用控制台、SDK、OBS Browser+ 访问，约束 TLS 协议版本时需至少允许 1.2 版本的 TLS 协议访问，否则请求会被拒绝。注意，用户通过控制台访问时，不会携带用户原始链接的 TLS 协议版本，OBS感知到的是控制台系统使用的 TLS 协议版本。
• getBucketLocation（获取桶区域位置）接口不支持通过 TlsVersion 约束请求。

示例：拒绝 TLS 版本低于 1.2 的客户端发起的下载对象请求

    "Condition":{
        "NumericLessThan":{
            "TlsVersion": "1.2"
        }
    }

g:SourceIdentity

String

否

特指IAM临时凭据STSToken中的source_identity字段。source_identity字段在用户第一次通过STS服务的AssumeAgency API获取IAM临时凭据时指定，且在后续的委托切换中不可再更改。

g:SourceIp

IP address

否

用于限制发起请求访问OBS的公网IP。注意：如果请求需要经过代理或IP NAT，请求的公网IP会发生变化，OBS会检查请求访问服务端的最后一跳公网源IP。

SourceIp

IP address

否

用于限制发起请求的IP，优先识别客户携带的IP，如果未携带IP则取网络上一跳IP地址。该条件键存在一定的IP伪造风险。

SourceVpc

String

否

请求发起的VPC ID。如何获取VPC ID请参见获取虚拟私有云的ID信息

g:SourceVpce

String

否

发起请求来源的VPC终端节点ID。获取方法参见如何获取VPC终端节点ID

SourceVpce

String

否

同g:SourceVpce。

g:VpcSourceIp

IP address

否

指从VPC内发起的请求的源IP地址。

g:UserAgent

String

否

指请求携带的HTTP User-Agent header，注意该属性是由客户端指定的，故不推荐使用它作为访问控制的安全依赖。

UserAgent

String

否

同g:UserAgent

g:EnterpriseProjectId

String

否

指该请求对应的企业项目ID或者请求操作的资源所属的企业项目ID。如何获取请参见获取企业项目ID。

ServiceAgency

String

否

IAM委托名称，委托云服务访问OBS。如何获取请参见获取委托名。

g:SourceAccount

String

否

指跨服务访问场景下，云服务是为哪一个资源所发起的请求，g:SourceAccount表示的是该资源的所属主账号。

g:SourceUrn

String

否

指跨服务访问场景下，云服务是为哪一个资源所发起的请求，g:SourceUrn表示的是该资源URN。

ListBucket

prefix

String类型，列举以指定的字符串prefix开头的对象。

配置prefix、delimiter、max-keys后，执行List操作时需要带上符合条件的键值对信息，桶策略才生效。

例如，某桶配置了所有账号可读的桶策略，且条件运算符=NumericEquals，键=max-keys，值=100。则所有账号列举对象时需要在桶访问域名末尾加上?max-keys=100，才能完成对象列举，且列举的对象将是按照字典顺序的前100个对象。

delimiter

String类型，用来分组桶内对象的字符串。

max-keys

Numeric类型，指定返回的最大数，返回的对象列表将是按照字典顺序的最多前max-keys个对象。

ListBucketVersions

prefix

String类型，列举以指定的字符串prefix开头的多版本对象。

delimiter

String类型，用来分组桶内多版本对象的字符串。

max-keys

Numeric类型，指定返回的最大数，返回的对象列表将是按照字典顺序的最多前max-keys个对象。

PutBucketAcl

x-obs-acl

String类型，设置桶ACL。修改桶ACL时在头域中可以包含的Canned ACL，取值范围为private|public-read|public-read-write|bucketowner-read|log-delivery-write。

无

PutObject

x-obs-acl

String类型，设置对象ACL。上传对象时在头域中可以包含的Canned ACL，取值范围为private|public-read|public-read-write|bucketowner-read|bucket-owner-full-control|log-delivery-write。

x-obs-copy-source

String类型，用来指定复制对象时对象操作的源桶名以及源对象名。格式如/bucketname/keyname。

x-obs-metadata-directive

String类型，用来指定新对象的元数据是从元对象中复制，还是用请求中的元数据替换，取值范围为COPY|REPLACE。

x-obs-server-side-encryption

String类型，用来指定桶中对象以SSE-KMS方式加密存储，取值为kms。

PutObjectAcl

x-obs-acl

String类型，设置对象ACL。上传对象时在头域中可以包含的Canned ACL，取值范围为private|public-read|public-read-write|bucketowner-read|bucket-owner-full-control|log-delivery-write。

GetObjectVersion

versionId

String类型，获取versionId为xxx版本的对象。

GetObjectVersionAcl

versionId

String类型，获取versionId为xxx版本的对象ACL。

PutObjectVersionAcl

versionId

String类型，设置versionId。

x-obs-acl

String类型，设置versionId为xxx版本的对象ACL。上传对象时在头域中可以包含的Canned ACL，取值范围为private|public-read|public-read-write|bucketowner-read|bucket-owner-full-control|log-delivery-write。

DeleteObjectVersion

versionId

String类型，删除versionId为xxx版本的对象。