正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
设置用户权限 如果云服务账号已经能满足您的要求,不需要创建独立的IAM用户,您可以跳过本章节,不影响您使用OBS的其它功能。 如果您使用IAM用户,则需要先配置IAM用户的OBS资源权限。OBS与其他云资源是分开部署的。
这里的账号指华为云账号本身,不包含账号下的IAM用户,如果要为IAM用户授权,请参见对其他账号下的IAM用户授予桶和桶内资源的访问权限。 推荐配置方法 对其他账号授权,推荐使用桶策略。
对其他账号授予桶的指定操作权限 场景介绍 本案例介绍如何为其他华为云账号授予OBS桶的指定操作权限。这里的账号指华为云账号本身,不包含账号下的IAM用户,如果要为IAM用户授权,请参见对其他账号下的IAM用户授予桶和桶内资源的访问权限。
对其他账号授予桶的读写权限 场景介绍 本案例介绍如何为其他华为云账号授予OBS桶的读写权限。这里的账号指华为云账号本身,不包含账号下的IAM用户,如果要为IAM用户授权,请参见对其他账号下的IAM用户授予桶和桶内资源的访问权限。 推荐配置方法 对其他账号授权,推荐使用桶策略。
OBS支持的动作 这里的账号指华为云账号本身,不包含账号下的IAM用户,如果要为IAM用户授权,请参见对其他账号下的IAM用户授予桶和桶内资源的访问权限。 推荐配置方法 对其他账号授权,推荐使用桶策略。
由于华为云各服务之间存在业务依赖关系,因此给用户授予角色时,可能需要一并授予依赖的其他角色,才能正确完成业务。角色并不能满足用户对精细化授权的要求,无法完全达到企业对权限最小化的安全管控要求。
准备工作 使用OBS之前,您需要拥有一个华为账号并实名认证,然后为账号充值。 注册华为账号并实名认证。 如果您已有华为账号,请忽略此步骤。如果您还没有华为账号,请执行以下操作: 注册华为账号并开通华为云。
权限及授权项说明 如果您需要对您所拥有的对象存储服务(OBS)进行精细的权限管理,您可以使用统一身份认证服务(Identity and Access Management,简称IAM),如果当前的华为云账号已经能满足您的要求,不需要创建独立的IAM用户,您可以跳过本章节,不影响您使用
表1 典型权限场景配置案例 权限场景 场景配置案例 对当前账号下单个IAM用户授权 对单个IAM用户授予创建桶和列举桶的权限 对单个IAM用户授予桶的读写权限 对单个IAM用户授予桶的指定操作权限 对单个IAM用户授予指定对象的读权限 对单个IAM用户授予指定对象的指定操作权限 对当前账号下多个
获取访问密钥(AK/SK) IAM用户如果希望使用AK/SK访问OBS,必须要账号为其开启“编程访问”。开启方法请参见查看或修改IAM用户信息。 在调用接口的时候,需要使用AK/SK进行签名验证。AK/SK获取步骤如下: 登录控制台。
IAM用户如果希望使用AK/SK访问OBS,必须要账号为其开启“编程访问”。开启方法请参见查看或修改IAM用户信息。 在使用Browser+访问OBS时,需要使用AK/SK进行签名验证。AK/SK获取步骤如下: 登录控制台。
相关概念 账号:用户注册华为云后自动创建,该账号对其所拥有的资源和IAM用户具有完全的访问控制权限。 IAM用户:由管理员在IAM中创建的用户,是云服务的使用者,对应员工、系统或应用程序,具有身份凭证(密码和访问密钥),可以登录管理控制台或者访问API。
桶策略应用场景 允许其他华为云账号访问OBS资源,可以使用桶策略的方式授权对应权限。 当不同的桶对于不同的IAM用户有不同的访问控制需求时,需使用桶策略分别授权IAM用户不同的权限。
OBS桶拥有者通过桶策略可为IAM用户或其他账号授权桶及桶内对象的操作权限。 对象策略:主账号将对象的读写权限授权给该账号下的IAM用户。 ACL:OBS ACL是基于账号级别的读写权限控制,提供桶和对象的ACL配置。
配置步骤 使用账号登录华为云,在右上角单击“控制台”。 在控制台页面,鼠标移动至右上方的用户名,在下拉列表中选择“统一身份认证”。 创建一个IAM用户:APPServer。创建步骤请参见创建IAM用户。 创建允许访问桶hi-company中APPClient文件夹的自定义策略。
创建部门管理员和部门用户对应的IAM用户。如何创建请参见创建IAM用户。 将部门管理员加入“admin”用户组,并将部门用户加入具有“OBS Buckets Viewer”权限的用户组。如何加入用户组并授权请参见给IAM用户授权。 创建桶。
配置IAM权限 创建IAM用户并授权使用OBS OBS自定义策略 OBS资源 OBS请求条件 父主题: 权限控制
授予账号权限后,账号下所有具有OBS资源权限的IAM用户都可以拥有此桶/对象的访问权限。 当需要为不同IAM用户授予不同的权限时,可以通过桶策略配置。 拥有者 桶的拥有者是指创建桶的账号。
典型场景配置案例 权限典型场景一览 对当前账号下单个IAM用户授权 对当前账号下多个IAM用户或用户群组授权 对其他账号授权 对所有账号授权 临时授权访问OBS 让IAM用户只能看到被授权的桶 限制指定的IP地址访问桶
(Java SDK) 临时AK/SK和SecurityToken是系统颁发给IAM用户的临时访问令牌,有效期可以设置为15分钟至24小时,过期后需要重新获取。