标签：IAM 细粒度 账号 策略 十分钟 权限 OBS 入门
上一篇我们介绍了OBS权限管理中统一身份认证和企业项目管理，本期我们继续介绍OBS权限管理中的高级桶策略和ACL应用。您是否也遇到过类似的问题或者困扰？
1、隔壁的主账户给了子用户创建一个桶，但是没有给他设置桶策略，子账户访问报403，困惑了一整天。 2、楼下是另外一个子账号，为了OBS 控制台报无权限访问，百思不得其解。 3、对面一个子账户上传了一个文件，抓破头也无法分享给其他人。 这些问题或者困扰各不相同，下面将分别介绍高级桶策略和ACL应用来解答这些问题和困惑。高级桶策略介绍：
桶策略是作用于配置桶策略的单个桶的。同时也提供代码模式配置方法，高级桶策略代码最多不能超过20KB。 桶策略参数：
（1）Effect，桶策略效果；指定本条策略描述的权限是允许请求还是拒绝请求。
（2）Action，桶策略动作；指定本条策略可以执行的操作。
（3）Condition，策略生效必须满足的条件，详情参考
https://support.huaweicloud.com/usermanual-obs/obs_03_0120.html
（4）Resource，资源；资源指桶或对象。您可以指定一个对象或对象集，当指定给对象集时，使用通配符（*），例如：file*。如果不输入，则表示指定资源为桶，且在动作处只能选择与桶相关的。多个资源使用英文逗号分隔。
（5）Principal，桶策略被授权用户。
“domain/账号ID”（表示被授权用户为xxx账号）。
“domain/账号ID:user/用户ID”（表示被授权用户为xxx账号下的xxx用户）
控制台：
对应代码模式：
应用案例：
- 配置账号B的一个桶，允许账号A下的a租户只有上传权限，配置如下。其中xxx是需要需要注意的关键配置点。
2、匿名访问
高级桶策略与IAM授权对比
- IAM的OBS细粒度权限直接授权给IAM用户组，而OBS桶的自身细粒度规则目标只能是一个或者多个IAM用户，对于多用户场景创建和维护的效率较低，如下图所示。
- IAM的OBS细粒度权限可以包含60个Bucket+Object动作规则，而OBS桶自身的细粒度策略中，支持的Bucket+Object动作规则只有34个，如下图所示。这也就意味着IAM的OBS细粒度权限精细度更高。
- IAM的OBS细粒度权限还可以支持“列举所有桶”操作的权限控制，这样的全局性操作控制在OBS桶的自身高级策略中是无法实现的。
- OBS桶的自定义桶策略，设定的Bucket访问权限只能针对该桶自己；而一条IAM的OBS细粒度权限则可以同时适配多个目标OBS桶。
- OBS桶的自定义桶策略，只能控制IAM用户的OBS访问权限，而不能控制其他云服务对OBS资源的访问权限的。IAM的OBS细粒度权限则可以通过委托授权来控制其他云服务对于OBS资源的访问权限。
- 不论是IAM的OBS细粒度权限控制，还是OBS桶自定义的高级桶策略中，桶的访问控制与对象的访问控制是分开定义的，在华为云的OBS服务中，桶的访问控制规则 与 对象的访问控制规则 是分开定义的，当前无法通过一条策略将桶本身和桶内对象都共享出去。
如下所示为IAM的OBS细粒度权限定义，也需要同时包含桶和对象两条规则
ACL介绍：
基于账号的访问控制。有一个很恰当的比喻：桶owner相当于房东，房东将桶出租给房客(子账户)，子账户可以将贵重物品放到自己的房间里，但是房东没有权利去查看。房客可以给房东钥匙(设置对象ACL)赋予房东权限，使其有访问权限。 应用案例： 步骤1.账号A上传，主账号无权限下载
步骤2.可通过SDK，配置指定主账号具有对象下载权限；
上传者使用Java SDK配置指定账号权限。
这样对象的上传者，就可以将对象的权限赋予给桶owner。
OBS权限的四种方式随心配，让你轻松掌握权限配置管理。OBS权限管理在助力解决不同应用场景下的数据管理诉求下，为用户带来稳定、安全、高效的云端存储体验。
点击关注，第一时间了解华为云新鲜技术~
标签：IAM,细粒度,账号,策略,十分钟,权限,OBS,入门 来源： https://www.cnblogs.com/huaweiyun/p/12922720.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。