检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
权限和授权项 权限及授权项说明 桶相关授权项 对象相关授权项
不可以 可以 IAM权限应用场景 IAM权限主要面向对同账号下IAM用户授权的场景： 使用策略控制账号下整个云资源的权限时，使用IAM权限授权。 使用策略控制账号下OBS所有的桶和对象的权限时，使用IAM权限授权。 使用策略控制账号下OBS指定资源的权限时，使用IAM权限授权。 策略结构&语法
默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有权限对云服务进行操作。 关于IAM中和OBS相关的策略和角色介绍，请参见权限管理。关于IAM权限的语法结构及示例，请参见IAM权限。 权限
属于OBS权限。某些服务级的权限（例如创建桶、列举所有桶）无法通过OBS权限进行配置，只能在IAM权限中配置，OBS权限只能作用于资源级（桶和对象）。如果要同时授予OBS服务级权限和资源级权限，必须使用IAM权限，或者IAM权限与OBS权限结合使用。 图2 OBS权限与IAM权限的关系
对其他账号授予指定对象的读权限 场景介绍 本案例介绍如何为其他账号授予OBS桶中某个对象或某类对象的读权限。这里的账号指华为云账号本身，不包含账号下的IAM用户，如果要为IAM用户授权，请参见对其他账号下的IAM用户授予桶和桶内资源的访问权限。 推荐配置方法 对其他账号授权，推荐使用桶策略。
权限管理 OBS资源权限管理 OBS桶和对象的权限可以通过IAM用户权限、桶策略和ACL共同控制，本章节介绍使用IAM进行权限管理。 更多关于OBS资源权限管理的内容请参见权限管理。 如果您需要对购买的OBS资源，为企业中的员工设置不同的用户访问权限，以达到不同员工之间的权限隔离
表1 典型权限场景配置案例 权限场景 场景配置案例 对当前账号下单个IAM用户授权 对单个IAM用户授予创建桶和列举桶的权限 对单个IAM用户授予桶的读写权限 对单个IAM用户授予桶的指定操作权限 对单个IAM用户授予指定对象的读权限 对单个IAM用户授予指定对象的指定操作权限 对当前账号下多个IAM用户或用户群组授权
配置桶ACL权限 OBS Browser+可以配置拥有者、匿名用户、特定用户对应的ACL权限。 操作步骤 登录OBS Browser+。 选中待配置的桶，单击“桶ACLs”。 根据需求设置目标桶的ACL权限，单击“确认”，如图1所示。 图1 配置ACL 当用户新创建一个桶时，如果不指定相应的ACL权限，OBS
对其他账号授予指定对象的指定操作权限 场景介绍 本案例介绍如何为其他账号授予OBS桶中指定对象的指定操作权限，此处以授予下载对象的权限为例。 如果需要配置其他指定的权限，在桶策略的动作名称中选择对应动作即可。OBS支持的动作 这里的账号指华为云账号本身，不包含账号下的IAM用户，
对象ACL的访问权限如表3所示： 表3 对象ACL访问权限 权限 选项 描述 对象访问权限 读取权限 此权限可以获取该对象内容和元数据。 ACL访问权限 读取权限 此权限可以获取对应的对象的权限控制列表。 对象的拥有者默认永远具有ACL的读取权限。 写入权限 此权限可以更新对象的权限控制列表。 对象的拥有者默认永远具有ACL的写入权限。
对单个IAM用户授予桶的读写权限 场景介绍 本案例介绍如何为华为云账号下的某个IAM用户授予OBS桶的读写权限。 推荐配置方法 对单个IAM用户授予资源级别权限，推荐使用桶策略。 配置须知 本案例预置的“桶读写”模板允许指定IAM用户对整个桶及桶内所有对象执行除以下权限以外的所有权限： DeleteBucket：删除桶
桶或对象的所有者永远拥有读对应桶或对象ACP的权限。 Permission.PERMISSION_READ_ACP 写ACP权限 如果有写ACP的权限，则可以更新对应桶或对象的权限控制列表（ACL）。 桶或对象的所有者永远拥有写对应桶或对象的ACP的权限。 拥有了写ACP的权限，由于可以更改权限控制策略，实际上意味着拥有了完全访问的权限。
有了完全访问的权限。 ObsClient.enums.PermissionWriteAcp 完全控制权限 如果有桶的完全控制权限意味着拥有读权限、写权限、读ACP权限和写ACP权限的权限。 如果有对象的完全控制权限意味着拥有读权限、读ACP权限和写ACP权限的权限 ObsClient
检查是否配置了拒绝访问的权限 如果按照上述方法排查后，确认需要的权限均已正确配置，仍然无法访问OBS，则可能是由于在某条策略中配置了拒绝访问的权限。 由于OBS权限遵循Deny优先原则，当多条IAM权限和桶策略同时存在时，只要有一处设置了显式的Deny，则会根据此原则调整用户的权限，即使Den
企业数据权限控制最佳实践 部门公共数据权限管理 部门/项目之间数据共享 给业务部门授予独立的资源权限 业务部门之间桶资源隔离
味着拥有了完全访问的权限。 ObsClient::PermissionWriteAcp 完全控制权限 如果有桶的完全控制权限意味着拥有读权限、写权限、读ACP权限和写ACP权限的权限。 如果有对象的完全控制权限意味着拥有读权限、读ACP权限和写ACP权限的权限 ObsClient
多版本对象权限 开发过程中，您有任何问题可以在github上提交issue，或者在华为云对象存储服务论坛中发帖求助。接口参考文档详细介绍了每个接口的参数和使用方法。 设置多版本对象访问权限 您可以通过ObsClient.setObjectAcl接口指定VersionId参数设置多版本对象的访问权限，示例代码如下：
资源范围：整个桶（包含桶内对象） 授权操作 动作范围：模板配置 模板：公共读 核对权限配置信息，确认无误后单击“创建”，完成桶策略创建。 权限配置信息可以在桶策略列表查看。 图2 查看桶策略列表权限配置信息 验证 权限设置成功后，在桶“概览”页的“域名信息”找到“访问域名”。将“访问域名”的
的读取权限，请检查用户权限配置是否正确。 如果能显示对象列表，表示当前用户拥有读取权限，请执行下一步骤。 在“对象”页面，进行上传、删除对象等写删操作。 如果能够进行写删，表示普通用户的只读权限配置失败，请检查用户权限配置是否正确。 如果不能写删对象，表示普通用户的只读权限配置正确。
ACL权限 桶ACL的访问权限如表2所示： 表2 桶ACL访问权限 权限 选项 描述 桶访问权限 读取权限 此权限可以获取该桶内对象列表和桶的元数据。 写入权限 此权限可以上传、覆盖和删除该桶内任何对象。 对象权限 对象读权限 此权限可以获取该桶内对象的内容和对象的元数据。 说明：
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
