# OBS委托授权
如果您的源站为华为云OBS私有桶，且需要使用**OBS回源鉴权**功能，您需要开启OBS委托授权，授权成功后，CDN将有权限访问您账号下所有私有桶资源。
![](https://support.huaweicloud.com/usermanual-cdn/public_sys-resources/warning_3.0-zh-cn.png)
请勿删除CDN与OBS的委托关系，否则会导致CDN无法在回源时从OBS私有桶获取相应资源。
#### 配置约束
主账号默认拥有所有权限，配置委托时无需添加权限。如果您是**IAM用户**，那么您需要有相关权限才可正常开启OBS委托授权。
**使用角色与策略授权的IAM用户**需拥有以下权限：
1. **IAM权限：**
   - 查询指定条件下的委托列表信息：iam:agencies:listAgencies
   
   - 创建委托：iam:agencies:createAgency
   
   - 为委托授予项目服务权限：iam:permissions:grantRoleToAgencyOnProject
    
2. **CDN权限：**
   - 修改计费模式：cdn:configuration:modifyChargeMode
   
   - CDN所有只读权限：CDN ReadOnlyAccess
    
**使用身份策略授权的IAM用户**需拥有以下IAM Action权限：
- 授予列出委托的权限：iam:agencies:list
- 授予创建委托的权限：iam:agencies:create
- 授予查询权限列表的权限：iam:roles:list
- 授予为委托授予项目服务权限的权限：iam:agencies:grantRoleOnProject
 
#### 注意事项
- CDN对其他云服务有诸多依赖关系，因此在您开启OBS委托授权后，还需要参考[CDN与其他服务间依赖关系](https://support.huaweicloud.com/productdesc-cdn/cdn_01_0070.html#section1)配置相关策略后才能正常使用OBS私有桶源站。
- 华为云CDN于北京时间2025年4月2日开始启用新版的OBS委托授权功能，相对于旧版，新版收缩了部分权限。如果您已经启用了旧版的OBS委托授权，目前有收缩权限的需求，请参考[如何用新版OBS委托授权的权限替换旧版](https://support.huaweicloud.com/cdn_faq/cdn_faq_0203.html)完成设置。

- 新版OBS委托授权未将"ListBucket"授予CDN，因此，当客户端通过CDN请求OBS不存在的对象时，由于缺少"ListBucket"权限，CDN将返回客户端403状态码。详情请参见[对象不存在返回403/404](https://support.huaweicloud.com/obs_faq/obs_faq_0136.html)。
 
#### 操作步骤
1. 登录[CDN控制台](https://console.huaweicloud.com/cdn/?locale=zh-cn#/cdn/overview)。
2. 在左侧菜单栏中，选择"域名管理"。
3. 在域名管理界面右上方单击"开启OBS委托授权"。
图1OBS委托授权   
![](https://support.huaweicloud.com/usermanual-cdn/zh-cn_image_0000002323742112.png "点击放大")
4. 单击"确定"，系统将为您在[IAM管理控制台](https://console.huaweicloud.com/iam/?/iam/agencies#/iam/agencies)委托页面创建名为"CDNAccessPrivateOBS"委托关系，CDN将有权限（只读权限）访问您的私有OBS桶。
如果您的OBS桶中某些文件进行了**KMS加密** ，此时CDN还无法访问KMS加密文件，您需要为"CDNAccessPrivateOBS"委托配置**查看KMS密钥** 和**加密数据密钥**权限，CDN才能读取并加速KMS加密文件。
5. **（可选）** 为"CDNAccessPrivateOBS"委托配置**查看KMS密钥** 和**加密数据密钥** 权限。
   1. 登录[华为云控制台](https://console.huaweicloud.com)，在控制台首页中选择"管理与监管 \> IAM"，进入IAM控制台。
   
   2. 在左侧菜单栏中，选择"委托"。
   
   3. 在"委托"界面找到"CDNAccessPrivateOBS"，单击"操作"列"授权"，进入"选择策略"界面。
   
   4. 单击右上方"新建策略"，具体设置如下：
      - 策略名称：可自定义
      
      - 策略配置方式：可视化视图
      
      - 策略内容：
        - 允许
        
        - 云服务：数据加密服务（KMS）
        
        - 选择操作：**使用角色与策略授权的IAM用户** 选择"kms:cmk:get"和"kms:dek:crypto"；**使用身份策略授权的IAM用户**选择"kms:cmk:get"和"kms:cmk:encryptDataKey"
        
        - 所有资源：所有资源
         
       
   
   5. 单击"下一步"，完成自定义策略创建。
   
   6. 选择上一步新建的策略，单击"下一步"，
   
   7. 选择"指定区域项目资源"，根据OBS桶的位置勾选相应的区域。
   
   8. 单击"确定"，完成配置。
    
 
#### 相关FAQ
1. [使用OBS私有桶做源站，创建授权委托失败](https://support.huaweicloud.com/cdn_faq/cdn_faq_0193.html)