设置Bucket读写权限
概述
为了保障您存储在 BOS 中数据的高安全性,我们为您提供了丰富的多级权限管理能力。BOS的权限体系分为如下三级:
- Bucket 标准权限:业界常见的权限设置,分为私有、公共读和公共读写。
- 粗粒度自定义权限:较标准权限更细粒度的权限,可对指定用户设置 READ、LIST、WRITE、FULL_CONTROL 和 MODIFY 权限,并可以指定该权限可访问的资源,以及指定具有该权限的 IP 地址和 Referer 白名单等。
- 细粒度自定义权限:BOS 提供的 API 级别细粒度自定义权限。可设置的 API 类别包括 GetBucket、GetObject、PutObject、DeleteObject 在内的共 18 种。您可以对每种类别自定义相应的访问权限。
设置Bucket读写权限
- 登录 对象存储 BOS 管理控制台。
- 在左侧 Bucket 列表中,选择需要设置权限的 Bucket,点击 Bucket 名称进入 Bucket 管理目录。
- 在上方导航栏选择 配置管理 页签。
- 在 配置管理 页面中选择 基础配置,在 Bucket 权限配置 区域点击 修改配置 对该 Bucket 的权限进行配置。
- 可将 Bucket 设置为私有、公共读和公共读写,更多需求可选择自定义权限,点击 “添加自定义授权” 添加。
- 在弹出的 添加自定义权限 表单中,填写对应项进行授权。
对于自定义权限的相关配置流程,可以参考下表进行操作。
配置名称
|
配置描述
|
用户授权
|
- 所有用户:指该配置对所有用户生效
- 自定义:指该配置对指定用户生效。当选择 "自定义" 之后,您需要输入希望指定的用户 ID,用户 ID 可以在用户中心 查看。同时,BOS 支持同时设置多个用户 ID,每个用户 ID 分行填写即可(每行末尾不需要标点符号分隔)。若希望对全部用户生效,可以填写"*"(最多支持填写 1 个"*")。您也可以填入AuthenticatedUsers,代表授权给所有百度智能云注册用户
-
上述所有用户ID均指主账户ID,如需要对子用户的用户ID进行权限管控,需要通过IAM多用户访问控制进行相应配置: IAM多用户访问控制
|
授权效果
|
- 用于设置授权用户的操作效果。若选择 "允许",那么将配置的权限以 "允许" 的效果授予用户;若选择 "拒绝",那么将配置的权限以 "拒绝" 的效果授予用户
|
授权配置
|
- 粗粒度自定义权限:包括READ、LIST、WRITE、MODIFY、FULL_CONTROL权限
- 细粒度自定义权限:用户可通过点击"高级设置",展开细粒度权限列表,可按需勾选一个或多个,组合成新的自定义权限
- 细粒度和粗粒度权限 READ、LIST、WRITE、FULL_CONTROL、MODIFY 间互不影响,可同时授权
- 粗粒度权限的优先级高于细粒度权限。如果既配了粗粒度权限又配了细粒度权限,粗粒度权限会覆盖细粒度权限,以粗粒度为主。您可以根据自身需求对粗粒度权限和细粒度权限进行组合
|
资源
|
- 指定该权限作用的资源范围。
- 其中 “包含” 的应资源即生效的资源范围。资源必须以 Bucket 名称开始;资源如果只有 1 个斜杠,不能以斜杠结尾,应以通配符 "*" 结尾;资源可以设置多个,每行 1 个且每行以通配符结尾,示例:`myBucket, myBucket/*,myBucket/myfolder/object*`。若资源留空,则等同于 "Bucket名称"。
- 其中 “不包含” 的资源表示对指定范围之外的 Object 设置权限,配置填写方式同 "包含" 相同。如果选择了 “不包含” 但填写设置为空,相当于未配置。此时采用默认配置,即 Bucket 自身和 Bucket 内全部 Object。
|
访问控制
|
- Referer:设定 Referer 白名单。每个 Referer 以换行符分隔,每个Referer 最多支持一个通配符 `*`。同时可以勾选是否允许Referer 为空。选择 “允许 Referer 为空” 时,HTTP 请求中带白名单中的 Referer 和空 Referer 都允许访问;选择 “不允许 Referer 为空” 时,HTTP 请求只有带白名单的 Referer 可以访问,空 Referer 不允许。
- IP地址:指定拥有该权限的 IP 地址列表,使用 CIDR 方式对 IP 进行标识。IP 地址可以设置多个,每行 1 个,且每行最多 1 个通配符`*`,并以`.*`结尾。示例:`192.168.1.*`或`192.168.0.1/24` `192.168.0.100``192.168.*`
- https 协议:白名单仅支持 http 和 https 协议。若您需要使用 https 协议,您需要勾选该选项
- 访问时间:BOS 支持对该自定义权限设置访问时间,您可以在访问时间中设置最小时间和最大时间
- VPC:BOS 支持对该自定义权限设置 VPC 级别访问控制,您可以设置允许或禁止某个 VPC 访问您的 Bucket,您可以通过控制台选择本账号VPCID,也可通过【输入其他VPCID】设置其他账号下VPC
- 签名版本:您可指定BOS兼容S3的签名版本V2版本,设置该签名版本允许或禁止访问资源
|
说明:
- 若希望根据 IP 地址进行访问控制,您需要使用 Bucket 官方域名或者未开启 CDN 加速的自定义域名进行访问。若您使用 CDN 官方域名,或使用开启 CDN 加速的自定义域名访问 BOS,此时 IP 设置将无效。
- VPC 级别访问控制目前仅支持华北-北京、华北-保定和华东-苏州区域,若您需要其他地域支持,请通过您的商务经理或提交工单联系我们。
- 签名版本条件控制目前白名单开放,若有需求请通过您的商务经理或提交工单联系我们。
数据安全提示:
- 公共读写权限所有人无需身份验证可以直接读写您存储桶中的数据,安全风险极高,建议严格遵循最小权限原则,避免数据安全风险。
- LIST权限支持查看存储桶中的Object列表以及获取所有未执行完的分片上传任务,不建议授予所有用户LIST权限,请严格遵循最小权限原则。
- 单击 确定 完成配置。
- 配置完成后,您可以在 Bucket 权限配置 中看到已生成的权限记录,并可通过"修改"和“删除”按钮对已有权限进行调整。