文档首页 > > 控制台指南> 权限控制> 权限控制方式介绍> 桶ACL和对象ACL

桶ACL和对象ACL

分享
更新时间:2020/10/13 GMT+08:00

访问控制列表(Access Control List,ACL)是一个指定被授权者和所授予权限的授权列表。

OBS桶和对象的ACL是基于账号的访问控制,默认情况下,创建桶和对象时会同步创建ACL,授权拥有者对桶和对象资源的完全控制权限。

OBS ACL是基于账号级别的读写权限控制,权限控制细粒度不如桶策略和IAM权限。一般情况下,建议使用IAM权限和桶策略进行访问控制。

OBS支持通过ACL对表1所示用户或用户组授予桶的访问权限。

表1 OBS支持的被授权用户

被授权用户

描述

特定用户

ACL支持通过账号授予桶/对象的访问权限。授予账号权限后,账号下所有具有OBS资源权限的IAM用户都可以拥有此桶/对象的访问权限。

当需要为不同IAM用户授予不同的权限时,可以通过桶策略配置,具体操作请参见为IAM用户授予指定桶的操作权限

拥有者

桶的拥有者是指创建桶的账号。桶拥有者默认拥有所有的桶访问权限,其中桶ACL的读取和写入这两种权限永远拥有,且不支持修改。

对象的拥有者是上传对象的账号,而不是对象所属的桶的拥有者。对象拥有者默认永远拥有对象读取权限、ACL的读取和写入权限,且不支持修改。

须知:

不建议修改桶拥有者的对桶读取和写入权限。

匿名用户

未注册云服务的普通访客。如果匿名用户被授予了访问桶/对象的权限,则表示所有人都可以访问对应的桶/对象,并且不需要经过任何身份认证。

须知:

开启匿名用户的桶/对象访问权限后,所有人都可以在不经过身份认证的情况下,对桶/对象进行访问。

ACL权限

桶ACL的访问权限如表2所示:

表2 桶ACL访问权限

权限

选项

描述

桶访问权限

读取权限

此权限可以获取该桶内对象列表和桶的元数据。

写入权限

此权限可以上传、覆盖和删除该桶内任何对象。

ACL访问权限

读取权限

此权限可以获取对应的桶的权限控制列表。

桶的拥有者默认永远具有ACL的读取权限。

写入权限

此权限可以更新对应桶的权限控制列表。

桶的拥有者默认永远具有ACL的写入权限。

对象ACL的访问权限如表3所示:

表3 对象ACL访问权限

权限

选项

描述

对象访问权限

读取权限

此权限可以获取该对象内容和元数据。

ACL访问权限

读取权限

此权限可以获取对应的对象的权限控制列表。

对象的拥有者默认永远具有ACL的读取权限

写入权限

此权限可以更新对象的权限控制列表。

对象的拥有者默认永远具有ACL的写入权限。

每一次对桶/对象的授权操作都将覆盖桶/对象已有的权限列表,而不会对其新增权限。

桶ACL使用场景

在以下场景,建议您使用桶ACL:

  • 授予指定账号桶读取权限和桶写入权限,用以共享桶数据或挂载外部桶。比如,账号A授予账号B桶读取权限及桶写入权限后,账号B就可以通过OBS Browser+挂载外部桶、API&SDK等方式访问到该桶。

对象ACL使用场景

在以下场景,建议您使用对象ACL:

  • 需要对象级的访问权限控制时。桶策略可以授予对象或对象集访问权限,当授予一个对象集权限后,想对对象集中某一个对象再进行单独授权,通过配置桶策略的方法显然不太实际。此时建议使用对象ACL,使得单个对象的权限控制更加方便。
  • 使用对象链接访问对象时。一般使用对象ACL,将某一个对象通过对象链接开放给匿名用户进行读取操作。
分享:

    相关文档

    相关产品

文档是否有解决您的问题?

提交成功!非常感谢您的反馈,我们会继续努力做到更好!
反馈提交失败,请稍后再试!

*必选

请至少选择或填写一项反馈信息

字符长度不能超过200

提交反馈 取消

如您有其它疑问,您也可以通过华为云社区问答频道来与我们联系探讨

智能客服提问云社区提问