如何获取访问密钥(Python SDK) OBS通过用户账户中的AK和SK进行签名验证，确保通过授权的账户才能访问指定的OBS资源。以下是对AK和SK的解释说明： AK：Access Key ID，接入键标识，用户在 对象存储服务 系统中的接入键标识，一个接入键标识唯一对应一个用户，一个用户可以同时拥有多个接入键标识。对象存储服务系统通过接入键标识识别访问系统的用户。 SK：Secret Access Key，安全接入键，用户在对象存储服务系统中的安全接入键，是用户访问对象存储服务系统的密钥，用户根据安全接入键和请求头域生成鉴权信息。安全接入键和接入键标识一一对应。 创建访问密钥的操作步骤如下： 登录管理控制台。 单击页面右上角的用户名，并选择“我的凭证”。 在“我的凭证”页面，单击左侧导航栏的“访问密钥”。 在“访问密钥”页面，单击“新增访问密钥”。 每个用户最多可创建两个有效的访问密钥。 父主题： 常见问题(Python SDK)

HTTP状态码(Python SDK) OBS服务端遵照HTTP规范，在接口调用完成均会返回标准的HTTP状态码，HTTP状态码分类以及OBS中常见的HTTP状态码如下： HTTP状态码分类： 分类 分类描述 1XX 信息，服务器收到请求，需要请求者继续执行操作，一般对客户调用函数不可见。 2XX 成功，操作被成功接收并处理。 3XX 重定向，需要进一步的操作以完成请求。 4XX 客户端错误，请求包含语法错误或无法完成请求。 5XX 服务器错误，服务器在处理请求的过程中发生了错误 OBS中常见的HTTP状态码及其含义： HTTP状态码 描述 常见原因 400 Bad Request 请求参数错误 请求参数不合法； 客户端携带MD5请求后一致性校验失败； 无效的参数（使用SDK时传递了不合法的参数）； 无效的桶名（使用了不合法的桶名）； 403 Forbidden 拒绝访问 请求的签名不匹配（一般是AK/SK错误）； 权限不足（账号对请求的资源无权限）； 账号欠费； 桶的空间不足（出现在对桶设置了配额的场景）； 无效的AK； 客户端时间和服务端时间相差过大（客户端所在机器的时间与NTP服务不同步）； 404 Not Found 请求的资源不存在 桶不存在； 对象不存在； 桶的策略配置不存在（桶CORS配置不存在、桶Policy配置不存在等）； 分段上传任务不存在； 405 Method Not Allowed 请求的方法不支持 请求的方法/特性未在该桶所在的区域上线 408 Request Timeout 请求超时 服务端与客户端Socket连接超时 409 Conflict 请求冲突 在不同区域重复创建桶名桶； 尝试删除非空桶； 500 Internal Server Error 服务端内部错误 服务端内部错误 503 Service Unavaliable 服务不可用 服务端暂时不可访问 父主题： 异常处理(Python SDK)

代码样例 此用例用于生成带授权信息的临时URL。 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 from obs import ObsClient import os import traceback import base64 # 推荐通过环境变量获取AKSK，这里也可以使用其他外部引入方式传入，如果使用硬编码可能会存在泄露风险 # 您可以登录访问管理控制台获取访问密钥AK/SK，获取方式请参见https://support.huaweicloud.com/usermanual-ca/ca_01_0003.html ak = os.getenv("AccessKeyID") sk = os.getenv("SecretAccessKey") # 【可选】如果使用临时AKSK和SecurityToken访问OBS，则同样推荐通过环境变量获取 # security_token = os.getenv("SecurityToken") # server填写Bucket对应的Endpoint, 这里以华北-北京四为例，其他地区请按实际情况填写 server = "https://obs.cn-north-4.myhuaweicloud.com" # 创建obsClient实例 # 如果使用临时AKSK和SecurityToken访问OBS，需要在创建实例时通过security_token参数指定securityToken值 obsClient = ObsClient(access_key_id=ak, secret_access_key=sk, server=server) try: # 生成创建桶的带授权信息的URL res1 = obsClient.createSignedUrl(method='PUT', bucketName='bucketname', expires=3600) print('signedUrl:', res1.signedUrl) print('actualSignedRequestHeaders:', res1.actualSignedRequestHeaders) # 生成上传对象的带授权信息的URL res2 = obsClient.createSignedUrl(method='PUT', bucketName='bucketname', objectKey='objectkey', expires=3600, headers={'Content-Type': 'text/plain'}) print('signedUrl:', res2.signedUrl) print('actualSignedRequestHeaders:', res2.actualSignedRequestHeaders) # 生成设置对象ACL的带授权信息的URL res3 = obsClient.createSignedUrl(method='PUT', bucketName='bucketname', objectKey='objectkey', specialParam='acl', expires=3600, headers={'x-obs-acl': 'private'}) print('signedUrl:', res3.signedUrl) print('actualSignedRequestHeaders:', res3.actualSignedRequestHeaders) # 生成下载对象的带授权信息的URL res4 = obsClient.createSignedUrl(method='GET', bucketName='bucketname', objectKey='objectkey', expires=3600) print('signedUrl:', res4.signedUrl) print('actualSignedRequestHeaders:', res4.actualSignedRequestHeaders) # 生成删除对象的带授权信息的URL res5 = obsClient.createSignedUrl(method='DELETE', bucketName='bucketname', objectKey='objectkey', expires=3600) print('signedUrl:', res5.signedUrl) print('actualSignedRequestHeaders:', res5.actualSignedRequestHeaders) # 生成删除桶的带授权信息的URL res6 = obsClient.createSignedUrl(method='DELETE', bucketName='bucketname', expires=3600) print('signedUrl:', res6.signedUrl) print('actualSignedRequestHeaders:', res6.actualSignedRequestHeaders) # 生成设置初始化分段任务的带授权信息的URL res7 = obsClient.createSignedUrl(method='POST', bucketName='bucketname', objectKey='objectkey', specialParam='uploads', expires=3600) print('signedUrl:', res7.signedUrl) print('actualSignedRequestHeaders:', res7.actualSignedRequestHeaders) # 生成上传段的带授权信息的URL, res8 = obsClient.createSignedUrl(method='PUT', bucketName='bucketname', objectKey='objectkey', expires=3600, queryParams={'partNumber': '1', 'uploadId': '00000*****'}) print('signedUrl:', res8.signedUrl) print('actualSignedRequestHeaders:', res8.actualSignedRequestHeaders) # 生成合并段的带授权信息的URL res9 = obsClient.createSignedUrl(method='POST', bucketName='bucketname', objectKey='objectkey', expires=3600, queryParams={'uploadId': '00000*****'}) print('signedUrl:', res9.signedUrl) print('actualSignedRequestHeaders:', res9.actualSignedRequestHeaders) # 生成图片持久化处理的带授权信息的URL # 源对象所在的桶名 bucketName = 'originBucketName'; # 处理前的源对象名 objectKey = 'test.png'; # 处理后的对象名 targetObjectName ="save.png" # 处理后保存的桶名, 可选参数 targetBucketName ="saveBucketName" queryParams={} queryParams["x-image-process"]="image/resize,w_100" queryParams["x-image-save-object"]=base64.b64encode(targetObjectName .encode("utf-8")).decode() # 可选参数 queryParams["x-image-save-bucket"]=base64.b64encode(targetBucketName .encode("utf-8")).decode() res10 = obsClient.createSignedUrl(method='GET', bucketName=bucketName, objectKey=objectKey, queryParams=queryParams, expires=3600) print('signedUrl:', res10.signedUrl) print('actualSignedRequestHeaders:', res10.actualSignedRequestHeaders) except: print(traceback.format_exc())

接口约束 OBS支持的Region与Endpoint的对应关系，详细信息请参见地区与终端节点。 如果遇到跨域报错、签名不匹配问题，请参考以下步骤排查问题： 未配置跨域，需要在控制台配置CORS规则，请参考配置桶允许跨域请求。 签名计算问题，请参考URL中携带签名排查签名参数是否正确；比如上传对象功能，后端将Content-Type参与计算签名生成授权URL，但是前端使用授权URL时没有设置Content-Type字段或者传入错误的值，此时会出现跨域错误。解决方案为：Content-Type字段前后端保持一致。

请求参数 表1 请求参数列表 参数名称 参数类型 是否必选 描述 method str 必选 参数解释： HTTP方法类型 取值范围： GET POST PUT DELETE HEAD 默认取值： 无 bucketName str 可选 参数解释： 桶名。 约束限制： 桶的名字需全局唯一，不能与已有的任何桶名称重复，包括其他用户创建的桶。 桶命名规则如下： 3～63个字符，数字或字母开头，支持小写字母、数字、“-”、“.”。 禁止使用IP地址。 禁止以“-”或“.”开头及结尾。 禁止两个“.”相邻（如：“my..bucket”）。 禁止“.”和“-”相邻（如：“my-.bucket”和“my.-bucket”）。 同一用户在同一个区域多次创建同名桶不会报错，创建的桶属性以第一次请求为准。 默认取值： 无 objectKey str 可选 参数解释： 对象名。对象名是对象在存储桶中的唯一标识。对象名是对象在桶中的完整路径，路径中不包含桶名。 例如，您对象的访问地址为examplebucket.obs.cn-north-4.myhuaweicloud.com/folder/test.txt 中，对象名为folder/test.txt。 取值范围： 长度大于0且不超过1024的字符串。 默认取值： 无 specialParam str 可选 参数解释： 特殊操作符，代表要操作的子资源， 取值范围： versions uploads location storageinfo quota storagePolicy acl append logging policy lifecycle website versioning cors notification tagging delete restore 默认取值： 无 expires int 可选 参数解释： 带授权信息的URL的过期时间。 取值范围： 大于等于0的整型数，单位：秒。 默认取值： 300秒 headers dict 可选 参数解释： 请求中携带的头域。 默认取值： 无 queryParams dict 可选 参数解释： 请求中携带的查询参数。 默认取值： 无 如果遇到跨域报错、签名不匹配问题，请参考以下步骤排查问题： 未配置跨域，需要在控制台配置CORS规则，请参考配置桶允许跨域请求。 签名计算问题，请参考URL中携带签名排查签名参数是否正确；比如上传对象功能，后端将Content-Type参与计算签名生成授权URL，但是前端使用授权URL时没有设置Content-Type字段或者传入错误的值，此时会出现跨域错误。解决方案为：Content-Type字段前后端保持一致。

返回结果 表2 返回结果 类型 说明 GetResult 参数解释： SDK公共结果对象。 表3 GetResult 参数名称 参数类型 描述 status int 参数解释： HTTP状态码。 取值范围： 状态码是一组从2xx（成功）到4xx或5xx（错误）的数字代码，状态码表示了请求响应的状态。完整的状态码列表请参见状态码。 默认取值： 无 reason str 参数解释： HTTP文本描述。 默认取值： 无 errorCode str 参数解释： OBS服务端错误码，当status参数小于300时为空。 默认取值： 无 errorMessage str 参数解释： OBS服务端错误描述，当status参数小于300时为空。 默认取值： 无 requestId str 参数解释： OBS服务端返回的请求ID。 默认取值： 无 indicator str 参数解释： OBS服务端返回的错误定位码。 默认取值： 无 hostId str 参数解释： 请求的服务端ID，当status参数小于300时为空。 默认取值： 无 resource str 参数解释： 发生错误时相关的桶或对象，当status参数小于300时为空。 默认取值： 无 header list 参数解释： 响应消息头列表，由多个元组构成。每个元组均包含两个元素，代表响应头的键值对。 默认取值： 无 body object 参数解释： 操作成功后的结果数据，当status大于300时为空。该值根据调用接口的不同而不同，参见“桶相关接口”章节和“对象相关接口”章节的详细描述。 默认取值： 无 表4 返回结果 GetResult.body类型 说明 表5 参数解释： 响应结果，详见表5 表5 RestoreFailedWorkflowExecutionResponse 参数名称 参数类型 描述 executionUrn str 参数解释： 运行实例的URN 默认取值： 无 restoredAt str 参数解释： 运行实例的恢复启动时间 默认取值： 无 executionName str 参数解释： 运行实例的名字 默认取值： 无

元数据中的解密信息 SDK 会将解密所需的必要信息存至对象的对象自定义元数据，并且不会有其他备份，如果您对这些数据进行了修改，将会造成数据无法解密，需要保存的信息及其含义如下表： 表2 参数名 约束 说明 encrypted-algorithm 必选 加密套件的信息 encrypted-object-key 必选（使用 RSA 加密套件时) 使用 RSA 密钥加密后的数据密钥 encrypted-start 必选 加密该对象所使用的初始经 base64 编码后的字符串 master-key-info 可选 加密密钥的信息 plaintext-sha256 可选 加密前对象的 sha256 plaintext-content-length 可选 加密前对象的长度 encrypted-sha256 可选 加密后对象的 sha256

加密客户端与普通客户端的接口变更 CryptoObsClient 继承自 ObsClient，除下表所列举的接口外，其他接口均与 ObsClient 保持一致。 表1 接口名 ObsClient 接口行为 CryptoObsClient接口行为 appendObject 追加上传对象 抛出异常 copyPart 复制段 抛出异常 initiateMultipartUpload 初始化多段上传任务 抛出异常 uploadPart 上传段 抛出异常 putContent 流式上传或文本上传 将流或文本加密后上传至 OBS putFile 上传普通文件至 OBS 将文件加密后上传至 OBS getObject 普通下载文件 将下载文件解密后，返回解密后结果 uploadFile 断点续传上传文件至 OBS 断点续传上传加密后的文件至 OBS downloadFile 断点续传下载文件至 本地 断点续传下载解密后的文件至本地 initiateEncryptedMultipartUpload 无 初始化加密多段上传任务 uploadEncryptedPart 无 加密上传段

加密过程与加密套件 OBS Python SDK 提供了两个不同的加密套件生成器，分别是基于 AES-CTR 加密方法的 CTRCipherGenerator 与基于 RSA + AES-CTR 加密的 CtrRSACipherGenerator。 使用 CTRCipherGenerator 上传对象时，用户需要提供一个用来加密数据的数据密钥，SDK 将会针对每个对象随机生成一个初始值，并使用数据密钥与初始值加密对象，加密完成后将加密后文件上传至 OBS，并将对应的初始值存储至对象元数据中。下载该对象时，用户需要提供对应的数据密钥，SDK 会自动获取保存在对象元数据中的初始值，使用数据密钥与初始值解密对象并返回。下载时如果提供了与加密时不同的数据密钥，SDK 也将返回不可用的解密后文件。 使用 CtrRSACipherGenerator 上传对象时，用户需要提供一个 RSA 公钥或私钥，SDK 会针对每个对象随机生成一个数据密钥和初始值，并使用数据密钥与初始值加密对象，加密完成后将加密后文件上传至 OBS，随后会使用 RSA 密钥加密数据密钥，并将加密后的数据密钥与初始值存储至对象元数据中。下载该对象时，用户需要提供同一个 RSA 公钥或私钥，SDK 会自动获取保存在对象元数据中的数据密钥与初始值，并使用公钥或私钥解密数据密钥，如果提供的公钥或私钥与上传时使用的密钥不匹配，将会抛出错误。解密成功后，SDK 将会使用解密后的数据密钥与初始值解密对象并返回。

功能说明 使用多段上传特性时，用户必须首先调用创建多段上传任务接口创建任务，系统会给用户返回一个全局唯一的多段上传任务号，作为任务标识。后续用户可以根据这个标识发起相关的请求，如：上传段、合并段、列举段等。创建多段上传任务不影响已有的同名对象；同一个对象可以同时存在多个多段上传任务；每个多段上传任务在初始化时可以附加消息头信息，包括acl、用户自定义元数据和通用的HTTP消息头contentType、contentEncoding等，这些附加的消息头信息将先记录在多段上传任务元数据中。 在指定桶中初始化分段上传任务。

返回结果 表8 返回结果 类型 说明 GetResult 参数解释： SDK公共结果对象。 表9 GetResult 参数名称 参数类型 描述 status int 参数解释： HTTP状态码。 取值范围： 状态码是一组从2xx（成功）到4xx或5xx（错误）的数字代码，状态码表示了请求响应的状态。完整的状态码列表请参见状态码。 默认取值： 无 reason str 参数解释： HTTP文本描述。 默认取值： 无 errorCode str 参数解释： OBS服务端错误码，当status参数小于300时为空。 默认取值： 无 errorMessage str 参数解释： OBS服务端错误描述，当status参数小于300时为空。 默认取值： 无 requestId str 参数解释： OBS服务端返回的请求ID。 默认取值： 无 indicator str 参数解释： OBS服务端返回的错误定位码。 默认取值： 无 hostId str 参数解释： 请求的服务端ID，当status参数小于300时为空。 默认取值： 无 resource str 参数解释： 发生错误时相关的桶或对象，当status参数小于300时为空。 默认取值： 无 header list 参数解释： 响应消息头列表，由多个元组构成。每个元组均包含两个元素，代表响应头的键值对。 默认取值： 无 body object 参数解释： 操作成功后的结果数据，当status大于300时为空。该值根据调用接口的不同而不同，参见“桶相关接口”章节和“对象相关接口”章节的详细描述。 默认取值： 无

接口约束 您必须是桶拥有者或拥有初始化分段上传任务的权限，才能初始化分段上传任务。建议使用 IAM 或桶策略进行授权，如果使用IAM则需授予obs:object:PutObject权限，如果使用桶策略则需授予PutObject权限。相关授权方式介绍可参见OBS权限控制概述，配置方式详见使用IAM自定义策略、配置对象策略。 OBS支持的Region与Endpoint的对应关系，详细信息请参见地区与终端节点。 初始化上传段任务并上传一个或多个段之后，您必须合并段或取消多段上传任务，才能停止收取已上传的段的存储费用。仅当在合并段或取消多段上传任务之后，OBS才释放段存储并停止向您收取段存储费用。

返回结果说明 表7 返回结果 类型 说明 GetResult 参数解释： SDK公共结果对象。 表8 GetResult 参数名称 参数类型 描述 status int 参数解释： HTTP状态码。 取值范围： 状态码是一组从2xx（成功）到4xx或5xx（错误）的数字代码，状态码表示了请求响应的状态。完整的状态码列表请参见状态码。 默认取值： 无 reason str 参数解释： HTTP文本描述。 默认取值： 无 errorCode str 参数解释： OBS服务端错误码，当status参数小于300时为空。 默认取值： 无 errorMessage str 参数解释： OBS服务端错误描述，当status参数小于300时为空。 默认取值： 无 requestId str 参数解释： OBS服务端返回的请求ID。 默认取值： 无 indicator str 参数解释： OBS服务端返回的错误定位码。 默认取值： 无 hostId str 参数解释： 请求的服务端ID，当status参数小于300时为空。 默认取值： 无 resource str 参数解释： 发生错误时相关的桶或对象，当status参数小于300时为空。 默认取值： 无 header list 参数解释： 响应消息头列表，由多个元组构成。每个元组均包含两个元素，代表响应头的键值对。 默认取值： 无 body object 参数解释： 操作成功后的结果数据，当status大于300时为空。该值根据调用接口的不同而不同，参见“桶相关接口”章节和“对象相关接口”章节的详细描述。 默认取值： 无

接口约束 您必须拥有obs:bucket:CreateBucket权限，才能创建桶。建议使用IAM进行授权，配置方式详见使用IAM自定义策略。 OBS支持的region以及region与endPoint的对应关系，详细信息请参见地区与终端节点。 创建桶时，如果初始化客户端使用的终端节点（endPoint）为“obs.myhuaweicloud.com”，则可以不指定桶所在区域（location），系统会自动在华北-北京一（cn-north-1）创建桶；如果初始化客户端使用的终端节点（endPoint）不是obs.myhuaweicloud.com，则必须指定桶所在区域（location），且指定的区域必须与终端节点（endPoint）区域一致，否则会返回状态码400。 比如初始化时使用的终端节点endPoint是obs.cn-north-4.myhuaweicloud.com，那么在创建桶的时候必须指定Location：cn-north-4才会创建成功。 同一账号下，可以创建多个存桶，数量上限是100个（不区分地域），存储桶中的对象数量和大小没有限制。 新创建桶的桶名在OBS中必须是唯一的。如果是同一个用户重复创建同一区域的同名桶时返回HTTP状态码200。除此以外的其他场景重复创建同名桶返回HTTP状态码409，表明桶已存在。 用户删除桶后，需要等待30分钟才能创建同名桶和并行文件系统。

构造函数参数描述 参数 描述 建议值 access_key_id 访问密钥中的AK。默认为空字符串表示匿名用户。 N/A secret_access_key 访问密钥中的SK。默认为空字符串表示匿名用户。 N/A security_token 临时访问密钥中的SecurityToken。 如何获取临时访问密钥和securitytoken请参见临时访问密钥AK/SK获取； N/A server 连接OBS的服务地址。可包含协议类型、 域名 、端口号。示例：https://your-endpoint:443。（出于安全性考虑，建议使用https协议） N/A max_retry_count HTTP/HTTPS连接异常时的请求重试次数。默认为3次。 [1，5] max_redirect_count HTTP/HTTPS请求重定向的最大次数。默认为10次 [1, 10] timeout HTTP/HTTPS请求超时时间（单位：秒）。默认为60秒。 [10， 60] ssl_verify 验证服务端证书参数，即验证服务端证书与客户端证书配置的证书是否一致。可能的取值： 服务端pem格式根证书文件路径。 True：从操作系统根证书库中获取服务端证书列表并验证服务端证书（仅支持Windows操作系统）。 False：表示不验证服务端证书。 默认为False。 N/A chunk_size 读写socket流时的块大小（单位：字节），您可以根据自身需求设置块大小。默认为65536字节。 默认 long_conn_mode 是否启用长连接模式。默认为False。 N/A proxy_host 代理服务器的主机地址。默认为空。 说明： 请注意，代理服务器的主机地址不要指定http://或https://； N/A proxy_port 代理服务器的端口号。默认为空。 N/A proxy_username 连接代理服务器时使用的用户名。默认为空。 N/A proxy_password 连接代理服务器时使用的用户密码。默认为空。 N/A is_cname 是否通过自定义域名访问OBS服务。默认为False。 更多关于自定义域名相关信息请参见自定义域名。 N/A security_providers 指定允许的访问密钥搜索方式，OBS客户端将使用该参数指定的搜索方式，搜索并获取访问密钥。默认为None。 说明： security_providers参数必须采用列表形式，默认情况下security_providers为None，此时默认提供从环境变量中获取访问密钥，或从E CS 服务器获取临时访问密钥两种方式作为security_providers的默认搜索方式。 当指定了security_providers参数时，则不会提供默认搜索方式，此时仅可以使用security_providers中提供的搜索方式。 N/A security_provider_policy 指定访问密钥搜索策略。默认为None。 说明： security_provider_policy参数用于设置搜索策略，默认为None，此时需要显示指定访问密钥；同时，在已经指定了访问密钥参数的情况下，security_provider_policy参数将被忽略。 security_provider_policy设置为OBS_DEFAULT时采用链式搜索方式获取访问密钥； 设置security_provider_policy为预定义方式名（ENV，ECS）时采用对应方式获取访问密钥。 N/A 建议值为N/A的表示需要根据实际情况进行设置。 如网络状况不佳，建议增大timeout的值。 如果设置的server不带协议类型，则默认使用HTTPS协议。 如果启用了长连接模式，使用完OBS客户端后必须调用ObsClient.close方法显式关闭，回收连接资源。 出于DNS解析性能和OBS服务可靠性的考虑，不允许将server设置为IP，必须使用域名访问OBS服务。