文档中心

桶拥有者（主账号）或者拥有设置桶策略权限的账号及主子账号可以通过配置桶策略授予其他账号或其他账号下主子账号桶的权限。

下面示例以授予其他账号访问桶和上传对象的权限为例。

 说明：如果是给其他账号下的主子账号授权，需要同时配置桶策略和IAM策略。

1. 配置桶策略允许主子账号访问桶。

2. 被授权主子账号所属账号配置IAM策略，允许主子账号访问此桶。

桶策略和IAM策略中同时允许的权限才能生效。

操作步骤

步骤 1 在OBS管理控制台桶列表中，单击待操作的桶，进入“概览”页面。

步骤 2 在左侧导航栏，单击“权限”，进入权限管理页面。

步骤 3 单击“桶策略>高级桶策略”。

步骤 4 单击“创建桶策略”，系统弹出“创建桶策略”对话框。

步骤 5 配置如下参数，授予其他账号访问桶的权限。

表2-25 授予访问桶的权限的参数配置

参数	取值
策略模式	自定义模式
效果	Allow
被授权用户	l    包含 l    其他账号，并配置账号ID和用户ID 说明 账号ID和用户ID通过“我的凭证”页面可以获取。若是授权给账号，用户ID则不用配置；若是授权给其他账号的主子账号，还需配置用户ID，授权给多个主子账号时，用户ID使用英文逗号“,”分隔。
资源	l    包含 l    资源名称不配置
动作	l    包含 l    ListBucket

步骤 6 单击“确定”。

步骤 7 单击“创建桶策略”，系统弹出“创建桶策略”对话框。

步骤 8 配置如下参数，授予其他账号上传对象的权限。

 

授予用户对象操作权限前，需先授予其访问桶的权限。

表2-26 授予上传对象的权限的参数配置

参数	取值
策略模式	自定义模式
效果	Allow
被授权用户	l    包含 l    其他账号，并配置账号ID和用户ID 说明 账号ID和用户ID通过“我的凭证”页面可以获取。若是授权给账号，用户ID则不用配置；若是授权给其他账号的主子账号，还需配置用户ID，授权给多个主子账号时，用户ID使用英文逗号“,”分隔。
资源	l    包含 l    资源名称：*
动作	l    包含 l    PutObject

步骤 9 单击“确定”。

验证

使用OBS Browser+用来验证以上授权。

步骤 1 在管理控制台上创建被授权用户的AK/SK。

步骤 2 打开OBS Browser+，配置已获取到的AK/SK，并设置“访问路径”为授权的桶名称。

图2-18 添加新账号-OBS存储

步骤 3 当主账号未授权给用户访问桶权限时，用户用OBS Browser+访问桶时，被拒绝访问。

步骤 4 主账号配置授予给用户访问桶权限后，用户可以用OBS Browser+登录访问桶，桶界面正常显示桶中对象。

步骤 5 此时上传对象到桶中，上传失败。单击页面右上角的 ，进入“任务管理”界面，“状态”为“失败”，失败原因为“拒绝访问”。

步骤 6 主账号配置授予给用户上传对象权限后，用户用OBS Browser+上传对象成功，对象在对象列表中显示。