Object Storage Service:Permissões

Conceder permissões de acesso ao OSS para o usuário RAM

Para usar os recursos de processamento de dados do IMM como usuário RAM com base na operação x-oss-process ou x-oss-async-process, conceda as permissões de acesso ao OSS necessárias. Para mais informações sobre como conceder permissões a um usuário RAM, consulte Conceder permissões a um usuário RAM. Use uma política do sistema ou uma política personalizada. A política do sistema AliyunOSSFullAccess concede acesso total ao OSS. Se optar por uma política personalizada, certifique-se de que ela contenha as permissões descritas na tabela a seguir.

Conceder permissões de acesso ao IMM para o usuário RAM

Para usar os recursos de processamento de dados do IMM como usuário RAM por meio da operação x-oss-process ou x-oss-async-process, atribua as permissões de acesso ao IMM adequadas. Para detalhes sobre como configure permissões, consulte Gerencie permissões de usuário RAM.

A política do sistema AliyunIMMFullAccess oferece acesso completo ao IMM. Se precisar apenas de funcionalidades específicas, use uma política personalizada para conceder exclusivamente as permissões necessárias. A tabela abaixo detalha as permissões correspondentes às operações do IMM.

Para processar dados em um bucket do OSS usando recursos do IMM, vincule o bucket a um projeto do IMM. Ao criar um projeto do IMM, especifique uma função de serviço. Por padrão, aplica-se a função AliyunIMMDefaultRole. Se você usar um usuário RAM ou uma função RAM para acessar o serviço, a função de serviço especificada para o projeto deve ter permissão para executar a operação PassRole. O exemplo de instrução a seguir concede a permissão para executar a operação PassRole:

{
   "Effect": "Allow",
   "Action": "ram:PassRole",
   "Resource": "acs:ram:*:*:role/aliyunimmdefaultrole"  
}

Conceder permissões de acesso a outros serviços de nuvem para o IMM

O IMM precisa acessar outros serviços relevantes para processar dados. Por exemplo, para processar dados armazenados no OSS, gravar dados de saída no OSS e enviar notificações para o Simple Message Queue (SMQ), autorize o IMM a acessar o OSS e o SMQ.

A função de serviço padrão permite que o IMM acesse os serviços relevantes. Para restringir as permissões, crie uma função de serviço com apenas as permissões necessárias e especifique essa função ao criar um projeto. Para mais informações, consulte Configure uma função de serviço para um projeto.

Conceder permissões necessárias para cenários de processador em lote ou gatilho

Para usar processadores em lote e gatilhos, autorize o IMM a acessar outros serviços de nuvem, como o OSS. Se nenhuma função de serviço estiver disponível, crie a função de serviço padrão na página Cloud Resource Access Authorization.

Conceder permissões de acesso total

O exemplo de política RAM a seguir permite que um usuário acesse todos os recursos de processamento de dados do IMM a partir do OSS:

{
    "Statement":[
        {
            "Effect":"Allow",
            "Action":"oss:*",
            "Resource":"*"
        },
        {
            "Effect":"Allow",
            "Action":"imm:*",
            "Resource":"*"
        },
        {
            "Effect": "Allow",
            "Action": "ram:PassRole",
            "Resource": "acs:ram:*:*:role/aliyunimmdefaultrole"
        }
    ],
    "Version":"1"
}

Conceder permissões para operações específicas

Este exemplo de política RAM autoriza um usuário a acessar recursos de processamento de documentos em um bucket específico do OSS:

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oss:GetObject",
                "oss:PutObject",
                "oss:PostProcessTask",
                "oss:ProcessImm"
            ],
            "Resource": [
                "acs:oss:*:*:bucketname1/*",
                "acs:oss:*:*:bucketname2/*"
            ]
        },
        {
            "Action": [
                "imm:CreateOfficeConversionTask",
                "imm:GetWebofficeURL"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Effect": "Allow",
            "Action": "ram:PassRole",
            "Resource": "acs:ram:*:*:role/aliyunimmdefaultrole"
        }
    ],
    "Version": "1"
}

Conceder as permissões necessárias em um cenário de processador em lote ou gatilho

A política RAM de exemplo abaixo permite que o IMM execute as ações especificadas no OSS:

{
    "Statement":[
        {
            "Action":[
                "oss:Get*",
                "oss:List*",
                "oss:Process*",
                "oss:PostProcess*",
                "oss:Put*",
                "oss:PutBucketInventory",
                "oss:GetBucketInventory",
                "oss:ListBucketInventory",
                "oss:DeleteBucketInventory",
                "oss:PutBucketNotification",
                "oss:DeleteBucketNotification",
                "oss:StartEventRecord",
                "oss:StopEventRecord",
                "oss:GetEventRecordStatus"
            ],
            "Resource":"*",
            "Effect":"Allow"
        }
    ],
    "Version":"1"
}