OSS and OSS-HDFS authorization - E-MapReduce - Centre de documentation Alibaba Cloud

Configurez les autorisations d'accès pour OSS et OSS-HDFS à l'aide de RAM. Créez des politiques personnalisées pour répondre à vos exigences de sécurité et métier.

Autorisation OSS

Pour créer une politique personnalisée destinée à l'accès OSS, suivez les étapes ci-dessous :

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez Permissions > Policies.
Sur la page Policies, cliquez sur Create Policy.
Sur la page Create Policy, cliquez sur l'onglet JSON Editor.

Saisissez le document de politique, puis cliquez sur OK.

OSS propose un système d'autorisations complet. Pour plus d'informations sur les politiques d'autorisation OSS, consultez la rubrique Présentation des politiques RAM.

Important

Pour les utilisateurs des services Hive ou Spark au sein d'un cluster, incluez les autorisations oss:ListObjectVersions et oss:DeleteObjectVersion dans la politique, que le versioning soit activé ou non. EMR déclenche des opérations liées au versioning sur les répertoires temporaires courants, tels que « _temporary », « .staging », « .hive-staging » et « __magic ».
Lorsque vous configurez une politique de bucket, accordez l'autorisation oss:* (contrôle total) afin d'éviter les erreurs AccessDenied (HTTP 403).

Les exemples suivants présentent des politiques personnalisées pour des scénarios courants.

Accès complet

Accorde un contrôle total sur les données d'un bucket OSS.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "oss:ListObjects",
         "oss:GetBucketInfo",
         "oss:PutObject",
         "oss:GetObject",
         "oss:DeleteObject",
         "oss:AbortMultipartUpload",
         "oss:ListMultipartUploads",
         "oss:ListParts",
         "oss:RestoreObject",
         "oss:ListObjectVersions",
         "oss:DeleteObjectVersion"
      ],
      "Resource": [
        "acs:oss:*:*:<yourBucketName>",
        "acs:oss:*:*:<yourBucketName>/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": ["oss:ListBuckets"],
      "Resource": "*"
    }
  ]
}

Accès en lecture seule

Accorde un accès en lecture seule à un bucket OSS pour l'analyse ou l'interrogation des données.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:ListObjects",
        "oss:GetBucketInfo",
        "oss:GetObject",
        "oss:RestoreObject",
        "oss:ListObjectVersions"
      ],
      "Resource": [
        "acs:oss:*:*:<yourBucketName>",
        "acs:oss:*:*:<yourBucketName>/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": ["oss:ListBuckets"],
      "Resource": "*"
    }
  ]
}

Versioning

Utilisez cette politique lorsque le versioning est activé pour un bucket OSS.

Important

Utilisez cette fonctionnalité avec précaution.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:ListObjects",
        "oss:GetBucketInfo",
        "oss:PutObject",
        "oss:GetObject",
        "oss:DeleteObject",
        "oss:AbortMultipartUpload",
        "oss:ListMultipartUploads",
        "oss:ListParts",
        "oss:RestoreObject",
        "oss:ListObjectVersions",
        "oss:GetObjectVersion",
        "oss:DeleteObjectVersion",
        "oss:RestoreObjectVersion"
      ],
      "Resource": [
        "acs:oss:*:*:<yourBucketName>",
        "acs:oss:*:*:<yourBucketName>/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": ["oss:ListBuckets"],
      "Resource": "*"
    }
  ]
}

Saisissez un Policy Name et des Remarks, puis cliquez sur OK.

Autorisation OSS-HDFS

OSS-HDFS est un service de stockage objet Alibaba Cloud qui fournit des interfaces compatibles HDFS par-dessus OSS. Pour créer une politique personnalisée destinée à l'accès OSS-HDFS, suivez les étapes ci-dessous :

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez Permissions > Policies.
Sur la page Policies, cliquez sur Create Policy.
Sur la page Create Policy, cliquez sur l'onglet JSON Editor.

Saisissez le document de politique, puis cliquez sur OK. Voici un exemple de politique.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oss:ListObjects",
      "Resource": "acs:oss:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "oss:GetBucketInfo",
        "oss:PostDataLakeStorageFileOperation",
        "oss:PostDataLakeStorageAdminOperation"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "oss:*",
      "Resource": [
        "acs:oss:*:*:*/.dlsdata",
        "acs:oss:*:*:*/.dlsdata*"
      ]
    }
  ]
}

Remarque

Le chemin .dlsdata présent dans la politique est un chemin dédié à OSS-HDFS. Assurez-vous que le chemin de la ressource est correctement configuré.
Afin d'éviter d'accorder des autorisations excessives, ajustez la portée des paramètres Action et Resource en fonction de vos besoins métier.

Saisissez un Policy Name et des Remarks, puis cliquez sur OK.