Object Storage Service:Permissões

Conceda permissões de acesso ao OSS para o usuário do RAM

Para usar os recursos de processamento de dados do IMM como usuário do RAM por meio da operação x-oss-process ou x-oss-async-process, conceda ao usuário do RAM as permissões de acesso necessárias ao OSS. Para obter mais informações sobre como conceder permissões a um usuário do RAM, consulte Conceder permissões a um usuário do RAM. Utilize uma política do sistema ou personalizada para conceder as permissões. A política do sistema AliyunOSSFullAccess concede acesso total ao OSS. Se usar uma política personalizada, certifique-se de que ela contenha as permissões descritas na tabela a seguir.

Conceda permissões de acesso ao IMM para o usuário do RAM

Para usar os recursos de processamento de dados do IMM como usuário do RAM por meio da operação x-oss-process ou x-oss-async-process, conceda ao usuário do RAM as permissões de acesso necessárias ao IMM. Para obter mais informações sobre como configure permissões, consulte gerencie RAM user permissions.

A política do sistema AliyunIMMFullAccess concede acesso total ao IMM. Se precisar apenas de recursos específicos, use uma política personalizada para conceder somente as permissões necessárias. A tabela a seguir descreve as permissões correspondentes às operações do IMM.

Para usar os recursos do IMM no processamento de dados em um bucket do OSS, vincule o bucket a um projeto do IMM. Ao criar um projeto do IMM, especifique uma função de service. Por padrão, o sistema aplica a função AliyunIMMDefaultRole. Caso utilize um usuário ou uma função do RAM para acessar o service, a função de service especificada para o projeto precisa ter a permissão para executar a operação PassRole. O exemplo de instrução a seguir concede essa permissão:

{
   "Effect": "Allow",
   "Action": "ram:PassRole",
   "Resource": "acs:ram:*:*:role/aliyunimmdefaultrole"  
}

Conceda permissões de acesso a outros services em cloud para o IMM

O IMM requer acesso a outros services relevantes para o processamento de dados. Por exemplo, para processar dados armazenados no OSS, salve dados de saída no OSS e enviar notificações para o Simple Message Queue (SMQ), autorize o IMM a acessar o OSS e o SMQ.

A função de service padrão permite que o IMM acesse os services relevantes. Se quiser restringir as permissões, crie uma função de service com apenas as permissões necessárias e especifique essa função ao criar um projeto. Para obter mais informações, consulte configure a service role for a project.

Conceda as permissões necessárias para cenários de processador em lote ou gatilho

Para usar processadores em lote e gatilhos, autorize o IMM a acessar outros services em cloud, como o OSS. Se nenhuma função de service estiver disponível, crie a função de service padrão na página Cloud Resource Access Authorization.

Conceda permissões de acesso total

O exemplo de política do RAM a seguir permite que um usuário acesse todos os recursos de processamento de dados do IMM a partir do OSS:

{
    "Statement":[
        {
            "Effect":"Allow",
            "Action":"oss:*",
            "Resource":"*"
        },
        {
            "Effect":"Allow",
            "Action":"imm:*",
            "Resource":"*"
        },
        {
            "Effect": "Allow",
            "Action": "ram:PassRole",
            "Resource": "acs:ram:*:*:role/aliyunimmdefaultrole"
        }
    ],
    "Version":"1"
}

Conceda permissões para operações específicas

O exemplo de política do RAM a seguir permite que um usuário acesse os recursos de processamento de documentos em um bucket específico do OSS:

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oss:GetObject",
                "oss:PutObject",
                "oss:PostProcessTask",
                "oss:ProcessImm"
            ],
            "Resource": [
                "acs:oss:*:*:bucketname1/*",
                "acs:oss:*:*:bucketname2/*"
            ]
        },
        {
            "Action": [
                "imm:CreateOfficeConversionTask",
                "imm:GetWebofficeURL"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Effect": "Allow",
            "Action": "ram:PassRole",
            "Resource": "acs:ram:*:*:role/aliyunimmdefaultrole"
        }
    ],
    "Version": "1"
}

Conceda as permissões necessárias em um cenário de processador em lote ou gatilho

O exemplo de política do RAM a seguir permite que o IMM execute as ações especificadas no OSS:

{
    "Statement":[
        {
            "Action":[
                "oss:Get*",
                "oss:List*",
                "oss:Process*",
                "oss:PostProcess*",
                "oss:Put*",
                "oss:PutBucketInventory",
                "oss:GetBucketInventory",
                "oss:ListBucketInventory",
                "oss:DeleteBucketInventory",
                "oss:PutBucketNotification",
                "oss:DeleteBucketNotification",
                "oss:StartEventRecord",
                "oss:StopEventRecord",
                "oss:GetEventRecordStatus"
            ],
            "Resource":"*",
            "Effect":"Allow"
        }
    ],
    "Version":"1"
}