用户策略(User Policy)

最近更新时间:2019-01-14 10:10:54

用户策略包含以下几个元素:

  • Effect:当用户请求特定操作(可以是允许或拒绝)时的效果。如果没有显式授予(允许)对资源的访问权限,则说明此条策略不生效。也可显式拒绝对资源的访问,这样可 确保用户无法访问该资源,即使有其他策略授予了访问权限的情况下也是如此。
  • 资源:存储空间(Bucket)、对象(Object)以及相对应的子资源。
  • 操作:对于每个资源,所支持的一组操作。
  • 指定条件:在授予权限时指定的条件。访问请求只有在满足指定条件时,访问策略才可以生效。

下面是一条用户策略示例。此策略允许对 examplebucket 存储桶具有ks3:listbucket和ks3:getobject的权限。创建完此策略后,将 策略授权给子用户,子用户就拥有了相对应的权限。请参阅 用户策略管理授权管理

{
    "Version":"2015-11-01",
    "Statement": [
    {
        "Sid":"1",
        "Effect":"Allow",
        "Action":[
            "ks3:ListBucket",
            "ks3:GetObject"
        ],
        "Resource":["krn:ksc:ks3:::examplebucket","krn:ksc:ks3:::examplebucket/*"]
    }
   ]
}

注意:和空间策略(Bucket policy)不同,用户策略中不必指定被授权人,因为用户策略直接附加到特定用户。

在策略中指定资源

在KS3中,使用资源名称(KRN)来标识资源,KRN的格式如下:

krn:ksc:ks3:::bucketname
krn:ksc:ks3:::bucketname/keyname

其中bucketname表示存储空间名称,keyname表示对象/文件(Object)的名称,支持通配符*(匹配多个字符)和?(匹配单个字符)。

以下为 KS3 资源KRN的示例:

  • 该KRN表示 mybucket 存储桶
krn:ksc:ks3:::mybucket

在策略中指定被授权人

用户策略中不必指定,因为用户策略直接附加到特定用户。

在策略中指定权限

KS3在策略中指定的一组权限。每一个权限,都会映射到特定 KS3 操作

权限关键字 对应的KS3操作
ks3:ListBuckets 查询Bucket列表
ks3:GetBucketLocation 查询Bucket归属region
ks3:PutBucket 新建Bucket
ks3:DeleteBucket 删除Bucket
ks3:ListBucket 列举Bucket下的文件和查询bucket信息
ks3:GetBucketAcl 获取Bucket的ACL信息
ks3:PutBucketAcl 设置Bucket的ACL信息
ks3:PutBucketPolicy 创建Bucket的空间策略信息
ks3:GetBucketPolicy 获取Bucket的空间策略信息
ks3:DeleteBucketPolicy 删除Bucket的空间策略信息
ks3:GetBucketCORS 获取Bucket的CORS配置信息
ks3:PutBucketCORS 设置Bucket的CORS
ks3:PutObject 上传文件,包含post、PUT和分块上传
ks3:DeleteObject 删除文件
ks3:GetObject GET Object 和 HEAD Object
ks3:GetObjectAcl 获取文件的ACL信息
ks3:PutObjectAcl 设置文件的ACL
ks3ListBucketMultipartUploads 列出分段上传
ks3ListMultipartUploadParts 列出分段
ks3:AbortMultipartUpload 取消分块上传

在策略中指定条件

访问策略语言可使您在授予权限时指定条件。在 Condition 元素(或 Condition 块)中,可以指定策略生效 的条件。

KS3支持的Condition如下:

Condition 功能
ksc:SourceIp 指定IP地址

金山云,开启您的云计算之旅

立即注册