Object Storage Service:Control OSS access with RAM policies

Modelo de armazenamento do OSS

O OSS utiliza um modelo de armazenamento plano para armazenar objetos como pares chave-valor. Todos os objetos pertencem diretamente a um bucket; portanto, não existe hierarquia física de diretórios. Os "diretórios" exibidos no console usam os prefixos das chaves dos objetos e um delimitador (/) para simular uma estrutura de pastas.

Para o bucket examplebucket, o console exibe a seguinte estrutura de diretórios e chaves de objetos:

examplebucket
├── Development/                     # Key: Development/ (directory object)
│   ├── Alibaba Cloud.pdf            # Key: Development/Alibaba Cloud.pdf
│   ├── ProjectA.docx                # Key: Development/ProjectA.docx
│   └── ProjectB.docx                # Key: Development/ProjectB.docx
├── Marketing/                       # Key: Marketing/ (directory object)
│   ├── data2020.xlsx                # Key: Marketing/data2020.xlsx
│   └── data2021.xlsx                # Key: Marketing/data2021.xlsx
├── Private/                         # Key: Private/ (directory object)
│   └── 2017/                        # Key: Private/2017/ (directory object)
│       ├── images.zip               # Key: Private/2017/images.zip
│       └── promote.pptx             # Key: Private/2017/promote.pptx
└── oss-dg.pdf                       # Key: oss-dg.pdf

A chave de um objeto de diretório termina com /. O OSS usa esse sufixo para identificar diretórios. No armazenamento, todos os objetos, incluindo os objetos de diretório, são armazenados de forma plana.

Como o OSS não possui hierarquia real de diretórios, conceder acesso a um "diretório" significa conceder acesso a todos os objetos com um prefixo específico. Por exemplo, conceder acesso ao diretório Development/ equivale a conceder acesso a todos os objetos cujas chaves começam com Development/.

Diferenças nas requisições de bucket, diretório e objeto

Operações distintas exigem requisições de API e configurações de Resource diferentes.

GET /?prefix=Development/&delimiter=/ HTTP/1.1
Host: examplebucket.oss-cn-hangzhou.aliyuncs.com

Console vs. acesso via API/SDK

O acesso pelo console exige navegação desde a lista de buckets até o diretório de destino, o que requer mais permissões do que chamadas diretas de API ou SDK.

examplebucket
├── Development/           # Development directory
│   ├── Alibaba Cloud.pdf
│   ├── ProjectA.docx
│   └── ProjectB.docx
├── Marketing/             # Marketing directory
│   ├── data2020.xlsx
│   └── data2021.xlsx
├── Private/               # Confidential directory
│   └── 2017/
│       ├── images.zip
│       └── promote.pptx
└── oss-dg.pdf

Design da política

O acesso de leitura e gravação a Development/ exige dois tipos de permissão:

1. Permissão de listagem: Liste objetos em Development/ (oss:ListObjects), com uma Condition que restrinja a listagem ao prefixo Development.

2. Permissões de leitura e gravação: Leia e carregue arquivos em Development/ (oss:GetObject, oss:PutObject), com Resource definido como examplebucket/Development/*.

Crie e anexe uma política

1. Acesse a página Policies no console do RAM e clique em Create Policy.

2. Na aba JSON, insira o seguinte documento de política:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "oss:ListObjects",
         "Resource": "acs:oss:*:*:examplebucket",
         "Condition": {
           "StringLike": {
             "oss:Prefix": [
               "Development",
               "Development/*"
             ]
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "oss:GetObject",
           "oss:PutObject",
           "oss:GetObjectAcl"
         ],
         "Resource": "acs:oss:*:*:examplebucket/Development/*"
       }
     ]
   }

   Análise da política:

   • Primeira instrução: Concede permissão de listagem no bucket, usando Condition com oss:Prefix para restringir a listagem ao diretório Development e seus subdiretórios.

   • Segunda instrução: Concede acesso de leitura e gravação a todos os objetos sob Development/*.

3. Clique em OK, insira um Policy Name (como AllowAnneAccessDevelopment) e clique em OK para concluir a criação.

4. Acesse a página Users, localize a usuária do RAM Anne e clique em add permissions para anexar a política recém-criada.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oss:ListObjects",
      "Resource": "acs:oss:*:*:examplebucket",
      "Condition": {
        "StringLike": {
          "oss:Prefix": [
            "Marketing",
            "Marketing/*"
          ]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "oss:GetObject",
        "oss:GetObjectAcl"
      ],
      "Resource": "acs:oss:*:*:examplebucket/Marketing/*"
    }
  ]
}

Crie um grupo de usuários e adicione membros

1. Acesse a lista de grupos de usuários do RAM e clique em Create User Group para criar um grupo (por exemplo, DenyPrivateAccessGroup).

2. Clique em Add Group Members e adicione ao grupo os usuários do RAM que precisam ter o acesso negado à pasta Private/.

Crie e anexe uma política de negação

1. Acesse a página Policies no console do RAM e clique em Create Policy.

2. Na aba JSON, insira o seguinte documento de política:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": "oss:*",
         "Resource": "acs:oss:*:*:examplebucket/Private/*"
       },
       {
         "Effect": "Deny",
         "Action": "oss:ListObjects",
         "Resource": "acs:oss:*:*:examplebucket",
         "Condition": {
           "StringLike": {
             "oss:Prefix": [
               "Private/",
               "Private/*"
             ]
           }
         }
       }
     ]
   }

   Análise da política:

   • Primeira instrução: Nega todas as operações em objetos sob Private/.

   • Segunda instrução: Nega a listagem do conteúdo de Private/, impedindo que os usuários visualizem a lista de arquivos.

3. Clique em OK, insira um Policy Name (como DenyAccessPrivateFolder) e clique em OK para concluir a criação.

4. Acesse a página Groups, localize o grupo de usuários e clique em add permissions para anexar a política recém-criada.

Se um membro do grupo tentar listar ou baixar arquivos na pasta Private/, o OSS retornará um erro de permissão negada.