Object Storage Service:Accessing OSS through access points

Paso 1: Crear un access point

Cree un access point y configure su política para definir quién puede realizar qué acciones sobre qué recursos de OSS y bajo qué condiciones.

1. Vaya a la Access Point List y haga clic en Create Access Point.

2. Introduzca un Access Point Name, seleccione el bucket asociado y el Network Origin, y luego haga clic en Next.

   Nota

   • Si establece el Network Origin en VPC, debe introducir un VPC ID. Puede obtener el VPC ID desde la VPC Console.

   • La región de la VPC especificada debe ser una de las regions that support OSS gateway endpoints. Si las regiones no coinciden, las solicitudes de autenticación no podrán asociarse correctamente con la VPC indicada, lo que provocará fallos de autenticación.

3. Desactive la opción Block Public Access y configure una política de access point.

   GUI

   Parámetro	Descripción
   Applied To	Seleccione si desea autorizar el acceso al Whole Bucket o a Specific Resources.
   Resource Paths	Si establece Applied To en Whole Bucket, el campo Resource Paths se configura como accesspoint/{Access Point Name}/*. Si establece Applied To en Specific Resources, introduzca el directorio u objeto individual que desea autorizar. Puede agregar varias entradas.
   Authorized User	Especifique el destinatario de los permisos. RAM user: Seleccione un usuario de RAM que pertenezca a la cuenta actual de Alibaba Cloud. La cuenta que ha iniciado sesión debe ser una cuenta de Alibaba Cloud o un usuario de RAM con permisos de gestión de buckets y permiso ListUsers. De lo contrario, no será posible listar los usuarios de RAM. Other Account: Introduzca el UID de otra cuenta o usuario de RAM, o bien un usuario con rol asumido cuyo ARN comience con arn:sts, por ejemplo arn:sts::1798**:assumed-role/role-name/session-name. Puede otorgar permisos a varios usuarios, con una entrada por línea.
   Authorized Operation	Simple Settings: Seleccione una combinación común de operaciones autorizadas. Las opciones incluyen Read-Only (excluding ListObject), Read-Only (including ListObject), Read/Write, Full Access y Deny Access. Advanced Settings: Personalice el Effect (Allow o Reject) y la Action.

   Syntax

   Introduzca la política de autorización en formato JSON en el editor.

   Ejemplo de política: Otorgar permisos de lectura/escritura al usuario 20816353761158**** .

   {
     "Version": "1",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "oss:GetObject",
         "oss:PutObject",
         "oss:GetObjectAcl",
         "oss:PutObjectAcl",
         "oss:ListObjects",
         "oss:AbortMultipartUpload",
         "oss:ListParts",
         "oss:RestoreObject",
         "oss:ListObjectVersions",
         "oss:GetObjectVersion",
         "oss:GetObjectVersionAcl",
         "oss:RestoreObjectVersion"
       ],
       "Principal": [
         "20816353761158****"
       ],
       "Resource": [
         "acs:oss:{region-id}:179882766168****:accesspoint/{ap-name}/object/*"
       ]
     }, {
       "Effect": "Allow",
       "Action": [
         "oss:ListObjects",
         "oss:GetObject"
       ],
       "Principal": [
         "20816353761158****"
       ],
       "Resource": [
         "acs:oss:{region-id}:179882766168****:accesspoint/{ap-name}"
       ],
       "Condition": {
         "StringLike": {
           "oss:Prefix": [
             "*"
           ]
         }
       }
     }]
   }

   Un documento de política contiene Version y Statement.

   • Version: La versión de la política. Este valor es fijo en 1 y no se puede modificar.

   • Statement: Una regla de la política. Cada declaración contiene Effect, Action, Principal, Resource y Condition.

     Elemento de la política	Descripción
     Effect	El efecto de la política. Los valores válidos son Allow y Deny.
     Action	La operación que se realizará sobre el recurso. Se admite el comodín de asterisco (*).
     Principal	El usuario, la cuenta o el rol al que aplica la política.
     Resource	Los recursos a los que aplica la política.
     Condition	Las condiciones bajo las cuales la política entra en vigor. Si se especifican varias condiciones, se evalúan mediante un AND lógico; todas las condiciones deben cumplirse para que la política surta efecto.

     Todos los elementos de la política se definen en Authorization Syntax and Elements.

4. Haga clic en Submit y espere a que se cree el access point.

Paso 2: Delegar permisos

Después de crear un access point, configure la delegación de permisos en la política del bucket para otorgarle acceso al mismo. Hay tres tipos de delegación disponibles:

• oss:DataAccessPointArn: Delega permisos de acceso para un access point específico.

• oss:DataAccessPointAccount: Delega permisos de acceso para todos los access points bajo la cuenta actual de Alibaba Cloud.

• oss:AccessPointNetworkOrigin: Delega permisos de acceso para todos los access points que tienen un origen de red específico.

Paso 3: Acceder a los recursos

Las identidades autorizadas (como los usuarios de RAM) utilizan el alias del access point para acceder a los recursos de OSS.

import com.aliyun.sdk.service.oss2.OSSClient;
import com.aliyun.sdk.service.oss2.credentials.CredentialsProvider;
import com.aliyun.sdk.service.oss2.credentials.StaticCredentialsProvider;
import com.aliyun.sdk.service.oss2.models.GetObjectRequest;

import java.io.File;

/**
 * OSS Java SDK V2 example: Download an object to a local file by using an access point.
 */
public class DownloadObjectWithAccessPoint {

    public static void main(String[] args) {
        // Create an OSS client.
        String accessKeyId = System.getenv("OSS_ACCESS_KEY_ID");
        String accessKeySecret = System.getenv("OSS_ACCESS_KEY_SECRET");
        CredentialsProvider provider = new StaticCredentialsProvider(accessKeyId, accessKeySecret);
        OSSClient client = OSSClient.newBuilder()
                .credentialsProvider(provider)
                .region("<region-id>")
                .build();

        // Download the object to a local file by using an access point alias.
        String bucket = "example-ap-b156d01070a10322664d6704cd1d47****-ossalias";
        String key = "example.jpg";
        File file = new File("example.jpg");
        client.getObjectToFile(GetObjectRequest.newBuilder()
                .bucket(bucket)
                .key(key)
                .build(), file);
        System.out.println("Download complete: " + key + " -> " + file.getPath());

        // Close the client.
        try {
            client.close();
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
"""OSS Python SDK V2 example: Download an object to a local file by using an access point."""

import alibabacloud_oss_v2 as oss

def main() -> None:
    """Main function"""
    # Create an OSS client.
    credentials_provider = oss.credentials.EnvironmentVariableCredentialsProvider()
    config = oss.config.load_default()
    config.credentials_provider = credentials_provider
    config.region = "<region-id>"
    config.endpoint = "oss-<region-id>.aliyuncs.com"
    client = oss.Client(config)

    # Download the object to a local file by using an access point alias.
    bucket = "example-ap-b156d01070a10322664d6704cd1d47****-ossalias"
    key = "example.jpg"
    file_path = "example.jpg"
    request = oss.GetObjectRequest(bucket, key)
    client.get_object_to_file(request, file_path)
    print(f"Download complete: {key} -> {file_path}")

if __name__ == "__main__":
    main()

ossutil cp oss://example-ap-b156d01070a10322664d6704cd1d47****-ossalias/example.jpg /tmp

GET /ObjectName HTTP/1.1
Host: example-ap-b156d01070a10322664d6704cd1d47****-ossalias.oss-{region-id}.aliyuncs.com
Date: GMT Date
Authorization: SignatureValue

curl -v \
  -H "Date: <GMT time>" \
  -H "Authorization: OSS <AccessKeyId>:<Signature>" \
  "https://<access-point-alias>.oss-<region-id>.oss-accesspoint.aliyuncs.com/<ObjectName>" \
  -o <local-file-path>

Escenario

Una empresa (UID de cuenta de Alibaba Cloud: 137918634953****) almacena datos recopilados centralmente en un bucket llamado examplebucket. Diez departamentos comerciales diferentes necesitan acceder a este bucket con los siguientes requisitos:

Diseño de la solución

Diseñe tres access points para los diferentes escenarios de acceso, utilizando políticas de access point para el control de permisos y las restricciones de red.

Política de access point

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "oss:GetObject",
      "oss:GetObjectAcl",
      "oss:ListObjects",
      "oss:RestoreObject",
      "oss:ListObjectVersions",
      "oss:GetObjectVersion",
      "oss:GetObjectVersionAcl",
      "oss:RestoreObjectVersion"
    ],
    "Principal": [
      "26571698800555****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-01/object/dir1/*"
    ]
  },{
    "Effect": "Allow",
    "Action": [
      "oss:ListObjects",
      "oss:GetObject"
    ],
    "Principal": [
      "26571698800555****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-01"
    ],
    "Condition": {
      "StringLike": {
        "oss:Prefix": [
          "dir1/*"
        ]
      }
    }
  }]
}

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "oss:GetObject",
      "oss:PutObject",
      "oss:GetObjectAcl",
      "oss:PutObjectAcl",
      "oss:ListObjects",
      "oss:AbortMultipartUpload",
      "oss:ListParts",
      "oss:RestoreObject",
      "oss:ListObjectVersions",
      "oss:GetObjectVersion",
      "oss:GetObjectVersionAcl",
      "oss:RestoreObjectVersion"
    ],
    "Principal": [
      "25770968794578****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-02/object/*"
    ]
  },{
    "Effect": "Allow",
    "Action": [
      "oss:ListObjects",
      "oss:GetObject"
    ],
    "Principal": [
      "25770968794578****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-02"
    ],
    "Condition": {
      "StringLike": {
        "oss:Prefix": [
          "*"
        ]
      }
    }
  }]
}

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "oss:GetObject",
      "oss:PutObject",
      "oss:GetObjectAcl",
      "oss:PutObjectAcl",
      "oss:ListObjects",
      "oss:AbortMultipartUpload",
      "oss:ListParts",
      "oss:RestoreObject",
      "oss:ListObjectVersions",
      "oss:GetObjectVersion",
      "oss:GetObjectVersionAcl",
      "oss:RestoreObjectVersion"
    ],
    "Principal": [
      "26806658794579****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-03/object/dir2/*"
    ]
  },{
    "Effect": "Allow",
    "Action": [
      "oss:ListObjects",
      "oss:GetObject"
    ],
    "Principal": [
      "26806658794579****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-03"
    ],
    "Condition": {
      "StringLike": {
        "oss:Prefix": [
          "dir2/*"
        ]
      }
    }
  }]
}

Delegación de política de bucket

Este escenario utiliza oss:DataAccessPointAccount para una delegación unificada en todos los access points bajo la misma cuenta. Para un control granular, utilice oss:DataAccessPointArn para delegar por access point.

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "oss:*"
    ],
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:137918634953****:examplebucket",
      "acs:oss:*:137918634953****:examplebucket/*"
    ],
    "Condition": {
      "StringEquals": {
        "oss:DataAccessPointAccount": [
          "137918634953****"
        ]
      }
    }
  }]
}

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "oss:*"
    ],
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:137918634953****:examplebucket",
      "acs:oss:*:137918634953****:examplebucket/*"
    ],
    "Condition": {
      "StringEquals": {
        "oss:DataAccessPointArn": [
          "acs:oss:oss-{region-id}:137918634953****:accesspoint/ap-01",
          "acs:oss:oss-{region-id}:137918634953****:accesspoint/ap-02",
          "acs:oss:oss-{region-id}:137918634953****:accesspoint/ap-03"
        ]
      }
    }
  }]
}

¿La política de access point admite listas de permitidos de IP?

Sí. Agregue una condición acs:SourceIp a su política de access point para implementar control de acceso basado en IP. Ejemplo:

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["oss:GetObject"],
    "Principal": ["*"],
    "Resource": ["acs:oss:{region-id}:179882766168****:accesspoint/{ap-name}/object/*"],
    "Condition": {
      "IpAddress": {
        "acs:SourceIp": ["192.168.1.0/24", "203.0.113.5"]
      }
    }
  }]
}

Esta política permite que solo las solicitudes provenientes de las IPs o rangos CIDR especificados accedan a los recursos a través del access point. El ejemplo usa "203.0.113.5" (una IP sin máscara), que es la forma recomendada de especificar una sola IP. Si prefiere la notación CIDR (como /32 para una sola IP), elija el operador de condición apropiado:

IpAddress excluye las IPs límite (direcciones de red y broadcast) al evaluar rangos CIDR. Con una máscara /32, la propia IP es la dirección límite y queda excluida, lo que hace que la política no tenga efecto. Utilice IpAddressIncludeBorder en su lugar:

"Condition": {
  "IpAddressIncludeBorder": {
    "acs:SourceIp": ["203.0.113.5/32"]
  }
}

Permisos obligatorios para la creación

Se requieren los siguientes permisos: oss:CreateAccessPoint, oss:GetAccessPoint, oss:DeleteAccessPoint, oss:ListAccessPoints, oss:PutAccessPointPolicy, oss:GetAccessPointPolicy, oss:DeleteAccessPointPolicy, oss:PutBucketPolicy, oss:GetBucketPolicy y oss:DeleteBucketPolicy.