对象存储服务 OBS-桶ACL权限简介
桶ACL权限简介
访问控制列表(Access Control List,ACL)是一个指定被授权者和所授予权限的授权列表。
OBS桶和对象的ACL是基于账号的访问控制,默认情况下,创建桶和对象时会同步创建ACL,授权拥有者对桶和对象资源的完全控制权限。
OBS的ACL为了实现用户简单实用地授权,包含以下特点:
- ACL对租户和租户下的用户都生效。
- 桶和对象的拥有者相同时,设置桶上的ACL默认对桶及桶中对象都生效。
- 桶创建时可以携带ACL,也可以创建成功后设置ACL;对象上传时可以携带ACL,也可以上传成功后再单独设置。
OBS ACL是基于账号级别的读写权限控制,权限控制细粒度不如桶策略和 IAM 权限。一般情况下,建议使用IAM权限和桶策略进行访问控制。
OBS支持通过ACL对表1所示用户或用户组授予桶的访问权限。
被授权用户 |
描述 |
---|---|
特定用户 |
ACL支持通过账号授予桶/对象的访问权限。授予账号权限后,账号下所有具有OBS资源权限的IAM用户都可以拥有此桶/对象的访问权限。 当需要为不同IAM用户授予不同的权限时,可以通过桶策略配置。 |
拥有者 |
桶的拥有者是指创建桶的账号。桶拥有者默认拥有所有的桶访问权限,其中桶ACL的读取和写入这两种权限永远拥有,且不支持修改。 对象的拥有者是上传对象的账号,而不是对象所属的桶的拥有者。对象拥有者默认永远拥有对象读取权限、ACL的读取和写入权限,且不支持修改。
须知:
不建议修改桶拥有者对桶的读取和写入权限。 |
匿名用户 |
未注册华为云的普通访客。
须知:
开启匿名用户的桶/对象访问权限后,所有人都可以在不经过身份认证的情况下,对桶/对象进行访问。 |
桶ACL的访问权限如表2所示:
权限 |
选项 |
描述 |
---|---|---|
桶访问权限 |
读取权限 |
此权限可以获取该桶内对象列表和桶的元数据。 |
对象读权限 |
此权限可以获取该桶内对象的内容和对象的元数据。 |
|
写入权限 |
此权限可以上传、覆盖和删除该桶内任何对象。 |
|
ACL访问权限 |
读取权限 |
此权限可以获取对应的桶的权限控制列表。 桶的拥有者默认永远具有ACL的读取权限。 |
写入权限 |
此权限可以更新对应桶的权限控制列表。 桶的拥有者默认永远具有ACL的写入权限。 |
对象ACL的访问权限如表3所示: