OSS授權文法與元素 - Object Storage Service

OSS通過JSON格式的授權策略實現資源的精細化存取控制，以下提供授權策略的文法和元素速查參考，協助快速、準確地完成複雜許可權配置。

授權文法

OSS授權策略採用JSON格式，包含Version（版本號碼）和Statement（授權語句）兩個核心欄位。

文法結構

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow|Deny",
            "Action": ["oss:ActionName"],
            "Principal": ["UID|*"],
            "Resource": ["acs:oss:*:*:bucket-name/*"],
            "Condition": {
                "ConditionOperator": {
                    "ConditionKey": ["Value"]
                }
            }
        }
    ]
}

欄位說明

欄位	說明	是否必填
Version	權限原則版本，固定為`1`，不允許修改。	是
Statement	策略語句的主體，包含一條或多條具體的授權/拒絕規則。	是

Statement元素

元素	說明	是否必填
Effect	策略的效力，可選值為`Allow`（允許）或`Deny`（拒絕）。	是
Action	對資源執行的具體操作，支援使用萬用字元`*`。	是
Principal	策略作用的主體（使用者、帳號、角色等）。當配置為空白列表`[ ]`時，行為與配置為`["*"]`相同。注意：RAM Policy不包含此欄位。	Bucket Policy必填
Resource	策略作用的資源範圍，支援使用萬用字元`*`。	是
Condition	策略生效的條件。當配置多個條件時，所有條件必須同時滿足（AND關係），策略才會生效。	否

Action

Action按照操作範圍分為Service層級、Bucket層級和Object層級的操作。

Service層級

API	Action	介面描述
ListBuckets（GetService）	oss:ListBuckets	列舉要求者擁有的所有Bucket。
ListUserDataRedundancyTransition	oss:ListUserDataRedundancyTransition	列舉要求者所有的儲存冗餘轉換任務。
無	oss:ActivateProduct	開通OSS以及Alibaba Content Security Service檢測服務。
無	oss:CreateOrder	建立OSS資源套件的訂單。
PutPublicAccessBlock	oss:PutPublicAccessBlock	為OSS全域開啟阻止公用訪問。
GetPublicAccessBlock	oss:GetPublicAccessBlock	擷取OSS全域阻止公用訪問的配置資訊。
DeletePublicAccessBlock	oss:DeletePublicAccessBlock	刪除OSS全域阻止公用訪問配置資訊。

Bucket層級

API	Action	介面描述
PutBucket	oss:PutBucket	建立Bucket。
GetBucket (ListObjects)	oss:ListObjects	列舉Bucket中所有Object的資訊。
GetBucketInfo	oss:GetBucketInfo	查看Bucket相關資訊。
GetBucketLocation	oss:GetBucketLocation	查看Bucket位置資訊。
GetBucketStat	oss:GetBucketStat	擷取Bucket儲存容量以及檔案數量。
PutBucketVersioning	oss:PutBucketVersioning	設定指定Bucket的版本控制狀態。
GetBucketVersioning	oss:GetBucketVersioning	擷取指定Bucket的版本控制狀態。
ListObjectVersions (GetBucketVersions)	oss:ListObjectVersions	列出Bucket中包括刪除標記（Delete Marker）在內的所有Object的版本資訊。
PutBucketAcl	oss:PutBucketAcl	設定或修改Bucket ACL。
GetBucketAcl	oss:GetBucketAcl	擷取Bucket ACL。
DeleteBucket	oss:DeleteBucket	刪除某個Bucket。
InitiateBucketWorm	oss:InitiateBucketWorm	建立合規保留原則。
AbortBucketWorm	oss:AbortBucketWorm	刪除未鎖定的合規保留原則。
CompleteBucketWorm	oss:CompleteBucketWorm	鎖定合規保留原則。
ExtendBucketWorm	oss:ExtendBucketWorm	延長鎖定的合規保留原則對應Bucket中Object的保留天數。
GetBucketWorm	oss:GetBucketWorm	擷取合規保留原則資訊。
PutBucketObjectWormConfiguration	oss:PutBucketObjectWormConfiguration	設定或修改Bucket的對象層級保留原則配置。
GetBucketObjectWormConfiguration	oss:GetBucketObjectWormConfiguration	擷取Bucket的對象層級保留原則配置資訊。
PutObjectRetention	oss:PutObjectRetention	為單個Object版本設定或修改保留原則。
GetObjectRetention	oss:GetObjectRetention	擷取單個Object版本的保留原則資訊。
PutBucketLogging	oss:PutBucketLogging	開啟Bucket日誌轉存功能。
PutBucketLogging	oss:PutObject	開啟源Bucket日誌轉存功能時，設定源Bucket日誌寫入另一個目標Bucket。
GetBucketLogging	oss:GetBucketLogging	查看Bucket日誌轉存配置。
DeleteBucketLogging	oss:DeleteBucketLogging	關閉Bucket日誌轉存功能。
PutBucketWebsite	oss:PutBucketWebsite	設定Bucket為靜態網站託管模式並設定其跳轉規則（RoutingRule）。
GetBucketWebsite	oss:GetBucketWebsite	查看Bucket的靜態網站託管狀態以及跳轉規則。
DeleteBucketWebsite	oss:DeleteBucketWebsite	關閉Bucket的靜態網站託管模式以及跳轉規則。
PutBucketReferer	oss:PutBucketReferer	設定Bucket的防盜鏈。
GetBucketReferer	oss:GetBucketReferer	查看Bucket的防盜鏈（Referer）相關配置。
PutBucketLifecycle	oss:PutBucketLifecycle	設定Bucket的生命週期規則。
GetBucketLifecycle	oss:GetBucketLifecycle	查看Bucket的生命週期規則。
DeleteBucketLifecycle	oss:DeleteBucketLifecycle	刪除Bucket的生命週期規則。
PutBucketTransferAcceleration	oss:PutBucketTransferAcceleration	設定Bucket傳輸加速。
GetBucketTransferAcceleration	oss:GetBucketTransferAcceleration	查看Bucket的傳輸加速配置。
ListMultipartUploads	oss:ListMultipartUploads	列舉所有執行中的Multipart Upload事件，即已經初始化但還未完成（Complete）或者還未中止（Abort）的Multipart Upload事件。
PutBucketCors	oss:PutBucketCors	設定指定Bucket的跨域資源共用CORS（Cross-Origin Resource Sharing）規則。
GetBucketCors	oss:GetBucketCors	擷取指定Bucket當前的跨域資源共用CORS規則。
DeleteBucketCors	oss:DeleteBucketCors	關閉指定Bucket對應的跨域資源共用CORS功能並清空所有規則。
PutBucketPolicy	oss:PutBucketPolicy	設定指定Bucket的授權策略。
GetBucketPolicy	oss:GetBucketPolicy	擷取指定Bucket的授權策略。
DeleteBucketPolicy	oss:DeleteBucketPolicy	刪除指定Bucket的授權策略。
PutBucketTags	oss:PutBucketTagging	添加或修改指定Bucket的標籤。
GetBucketTags	oss:GetBucketTagging	擷取Bucket的標籤。
DeleteBucketTags	oss:DeleteBucketTagging	刪除Bucket的標籤。
PutBucketEncryption	oss:PutBucketEncryption	配置Bucket的加密規則。
GetBucketEncryption	oss:GetBucketEncryption	擷取Bucket的加密規則。
DeleteBucketEncryption	oss:DeleteBucketEncryption	刪除Bucket的加密規則。
PutBucketRequestPayment	oss:PutBucketRequestPayment	佈建要求者付費模式。
GetBucketRequestPayment	oss:GetBucketRequestPayment	擷取要求者付費模式配置資訊。
PutBucketReplication	oss:PutBucketReplication	設定Bucket的資料複製規則。
PutBucketReplication	oss:ReplicateGet	設定Bucket的跨帳號資料複製規則或指定RAM角色複製方式。
PutBucketRTC	oss:PutBucketRTC	為已有的跨地區複製規則開啟或關閉資料複製時間控制（RTC）功能。
GetBucketReplication	oss:GetBucketReplication	擷取Bucket已設定的資料複製規則。
DeleteBucketReplication	oss:DeleteBucketReplication	停止Bucket的資料複製並刪除Bucket的複製配置。
GetBucketReplicationLocation	oss:GetBucketReplicationLocation	擷取可複製到的目標Bucket的所在地區。
GetBucketReplicationProgress	oss:GetBucketReplicationProgress	擷取Bucket的資料複製進度。
PutBucketInventory	oss:PutBucketInventory	配置Bucket的清單（Inventory）規則。
GetBucketInventory	oss:GetBucketInventory	查看Bucket中指定的清單任務。
ListBucketInventory	oss:GetBucketInventory	批量擷取Bucket中所有清單任務。
DeleteBucketInventory	oss:DeleteBucketInventory	刪除Bucket中指定的清單任務。
PutBucketAccessMonitor	oss:PutBucketAccessMonitor	配置Bucket的訪問跟蹤狀態。
GetBucketAccessMonitor	oss:GetBucketAccessMonitor	擷取Bucket的訪問跟蹤狀態。
OpenMetaQuery	oss:OpenMetaQuery	開啟Bucket的中繼資料管理功能。
GetMetaQueryStatus	oss:GetMetaQueryStatus	擷取Bucket的中繼資料索引庫資訊。
DoMetaQuery	oss:DoMetaQuery	查詢滿足指定條件的Object，並按照指定欄位和排序方式列出Object資訊。
CloseMetaQuery	oss:CloseMetaQuery	關閉Bucket的中繼資料管理功能.
InitUserAntiDDosInfo	oss:InitUserAntiDDosInfo	建立高防OSS執行個體。
UpdateUserAntiDDosInfo	oss:UpdateUserAntiDDosInfo	更改高防OSS執行個體狀態。
GetUserAntiDDosInfo	oss:GetUserAntiDDosInfo	查詢指定帳號下的高防OSS執行個體資訊。
InitBucketAntiDDosInfo	oss:InitBucketAntiDDosInfo	初始化Bucket防護。
UpdateBucketAntiDDosInfo	oss:UpdateBucketAntiDDosInfo	更新Bucket防護狀態。
ListBucketAntiDDosInfo	oss:ListBucketAntiDDosInfo	擷取Bucket防護資訊列表。
PutBucketResourceGroup	oss:PutBucketResourceGroup	設定Bucket所屬資源群組。
GetBucketResourceGroup	oss:GetBucketResourceGroup	查詢Bucket所屬資源群組ID。
CreateCnameToken	oss:CreateCnameToken	建立網域名稱所有權驗證所需的CnameToken。
GetCnameToken	oss:GetCnameToken	擷取已建立的CnameToken。
PutCname	oss:PutCname	為Bucket綁定自訂網域名。
PutCname	yundun-cert:DescribeSSLCertificatePrivateKey yundun-cert:DescribeSSLCertificatePublicKeyDetail yundun-cert:CreateSSLCertificate	為Bucket綁定自訂網域名時，綁定認證。
ListCname	oss:ListCname	擷取Bucket下綁定的所有的自訂網域名（Cname）列表。
DeleteCname	oss:DeleteCname	刪除Bucket已綁定的Cname。
PutStyle	oss:PutStyle	設定圖片樣式。
GetStyle	oss:GetStyle	擷取圖片樣式。
ListStyle	oss:ListStyle	列舉圖片樣式。
DeleteStyle	oss:DeleteStyle	刪除圖片樣式。
PutBucketArchiveDirectRead	oss:PutBucketArchiveDirectRead	為Bucket開啟或關閉歸檔直讀。
GetBucketArchiveDirectRead	oss:GetBucketArchiveDirectRead	查看Bucket是否開啟歸檔直讀。
CreateAccessPoint	oss:CreateAccessPoint	建立存取點。
GetAccessPoint	oss:GetAccessPoint	擷取單個存取點資訊。
DeleteAccessPoint	oss:DeleteAccessPoint	刪除存取點。
ListAccessPoints	oss:ListAccessPoints	擷取使用者層級及Bucket層級的存取點資訊。
PutAccessPointPolicy	oss:PutAccessPointPolicy	配置存取點策略。
GetAccessPointPolicy	oss:GetAccessPointPolicy	擷取存取點策略資訊。
DeleteAccessPointPolicy	oss:DeleteAccessPointPolicy	刪除存取點策略。
PutBucketHttpsConfig	oss:PutBucketHttpsConfig	為Bucket開啟或關閉TLS版本設定。
GetBucketHttpsConfig	oss:GetBucketHttpsConfig	查看Bucket的TLS版本設定。
無	oss:ReplicateList	複製過程涉及的列舉許可權。即允許OSS先列舉源Bucket的歷史資料，再逐一對歷史資料進行複製。
CreateAccessPointForObjectProcess	oss:CreateAccessPointForObjectProcess	建立對象FC存取點。
GetAccessPointForObjectProcess	oss:GetAccessPointForObjectProcess	擷取對象FC存取點基礎資訊。
DeleteAccessPointForObjectProcess	oss:DeleteAccessPointForObjectProcess	刪除對象FC存取點。
ListAccessPointsForObjectProcess	oss:ListAccessPointsForObjectProcess	擷取使用者層級的對象FC存取點資訊。
PutAccessPointConfigForObjectProcess	oss:PutAccessPointConfigForObjectProcess	修改對象FC存取點配置。
GetAccessPointConfigForObjectProcess	oss:GetAccessPointConfigForObjectProcess	擷取對象FC存取點配置資訊。
PutAccessPointPolicyForObjectProcess	oss:PutAccessPointPolicyForObjectProcess	為對象FC存取點配置權限原則。
GetAccessPointPolicyForObjectProcess	oss:GetAccessPointPolicyForObjectProcess	擷取對象FC存取點的權限原則配置。
DeleteAccessPointPolicyForObjectProcess	oss:DeleteAccessPointPolicyForObjectProcess	刪除對象FC存取點的權限原則。
WriteGetObjectResponse	oss:WriteGetObjectResponse	自訂返回資料和響應標題。
CreateBucketDataRedundancyTransition	oss:CreateBucketDataRedundancyTransition	建立儲存冗餘轉換任務。
GetBucketDataRedundancyTransition	oss:GetBucketDataRedundancyTransition	擷取儲存冗餘轉換任務。
DeleteBucketDataRedundancyTransition	oss:DeleteBucketDataRedundancyTransition	刪除儲存冗餘轉換任務。
ListBucketDataRedundancyTransition	oss:ListBucketDataRedundancyTransition	列舉某個Bucket下所有的儲存冗餘轉換任務。
PutBucketPublicAccessBlock	oss:PutBucketPublicAccessBlock	為某個Bucket開啟阻止公用訪問。
GetBucketPublicAccessBlock	oss:GetBucketPublicAccessBlock	擷取某個Bucket的阻止公用訪問配置資訊。
DeleteBucketPublicAccessBlock	oss:DeleteBucketPublicAccessBlock	刪除某個Bucket的阻止公用訪問配置資訊。
PutAccessPointPublicAccessBlock	oss:PutAccessPointPublicAccessBlock	為某個存取點開啟阻止公用訪問。
GetAccessPointPublicAccessBlock	oss:GetAccessPointPublicAccessBlock	擷取某個存取點的阻止公用訪問配置資訊。
DeleteAccessPointPublicAccessBlock	oss:DeleteAccessPointPublicAccessBlock	刪除某個存取點的阻止公用訪問配置資訊。
GetBucketPolicyStatus	oss:GetBucketPolicyStatus	查看當前Bucket Policy是否允許公用訪問。
PutBucketOverwriteConfig	oss:PutBucketOverwriteConfig	設定Bucket的禁止覆蓋寫配置。
GetBucketOverwriteConfig	oss:GetBucketOverwriteConfig	擷取Bucket的禁止覆蓋寫配置。
DeleteBucketOverwriteConfig	oss:DeleteBucketOverwriteConfig	刪除Bucket的禁止覆蓋寫配置。

Object層級

API	Action	介面描述
PutObject	oss:PutObject	上傳檔案（Object）。
	oss:PutObjectTagging	上傳檔案時，通過x-oss-tagging指定Object的標籤。
	kms:GenerateDataKey kms:Decrypt	上傳檔案時，指定Object的中繼資料套件含X-Oss-Server-Side-Encryption: KMS。
PostObject	oss:PutObject	通過HTML表單上傳的方式將Object上傳到指定Bucket。
AppendObject	oss:PutObject	以追加寫的方式上傳Object。
AppendObject	oss:PutObjectTagging	以追加寫的方式上傳檔案（Object）時，通過x-oss-tagging指定Object標籤。
InitiateMultipartUpload	oss:PutObject	初始化分區上傳任務。
	oss:PutObjectTagging	初始化分區上傳任務時，通過x-oss-tagging指定Object標籤。
	kms:GenerateDataKey kms:Decrypt	初始化分區上傳任務時，指定Object的中繼資料套件含X-Oss-Server-Side-Encryption: KMS。
UploadPart	oss:PutObject	根據指定的Object名和uploadId來分塊（Part）上傳資料。
CompleteMultipartUpload	oss:PutObject	在將所有資料Part都上傳完成後，需調用此介面來完成整個Object的分區上傳。
CompleteMultipartUpload	oss:PutObjectTagging	在將所有資料Part都上傳完成後，需調用此介面來完成整個Object的分區上傳，並指定Object的標籤。
AbortMultipartUpload	oss:AbortMultipartUpload	取消MultipartUpload事件並刪除對應的Part資料。
PutSymlink	oss:PutObject	為OSS的目標檔案（TargetObject）建立軟連結（Symlink）。
PutSymlink	oss:PutObjectTagging	為OSS的目標檔案（TargetObject）建立指定Object標籤的軟連結（Symlink）。
GetObject	oss:GetObject	擷取某個Object。
	kms:Decrypt	下載指定KMS的Object。
	oss:GetObjectVersion	下載指定版本Object。
HeadObject	oss:GetObject	擷取某個Object的中繼資料。
GetObjectMeta	oss:GetObject	擷取Object的中繼資料資訊，包括該Object的ETag、Size、LastModified資訊。
SelectObject	oss:GetObject	對目標檔案執行SQL語句，返回執行結果。
GetSymlink	oss:GetObject	擷取目標檔案的軟連結。
DeleteObject	oss:DeleteObject	刪除某個Object。
DeleteObject	oss:DeleteObjectVersion	刪除指定版本Object。
DeleteMultipleObjects	oss:DeleteObject	刪除同一個Bucket中的多個Object。
CopyObject	oss:GetObject oss:PutObject	拷貝同一地區下相同或不同Bucket之間的Object。
	oss:GetObjectVersion	拷貝同一地區下相同或不同Bucket之間指定版本的Object。
	oss:GetObjectTagging oss:PutObjectTagging	拷貝同一地區下相同或不同Bucket之間指定標籤的Object。
	kms:GenerateDataKey kms:Decrypt	拷貝Object時，指定目標Object的中繼資料套件含X-Oss-Server-Side-Encryption: KMS。
	oss:GetObjectVersionTagging	拷貝同一地區下相同或不同Bucket之間指定標籤版本的Object。
UploadPartCopy	oss:GetObject oss:PutObject	在UploadPart請求的基礎上增加一個要求標頭x-oss-copy-source來調用UploadPartCopy介面，實現從一個已存在的Object中拷貝資料來上傳一個Part。
UploadPartCopy	oss:GetObjectVersion	在UploadPart請求的基礎上增加一個要求標頭x-oss-copy-source來調用UploadPartCopy介面，實現從一個已存在的Object中指定Object版本拷貝資料來上傳一個Part。
ListParts	oss:ListParts	列舉指定Upload ID所屬的所有已經上傳成功的Part。
PutObjectACL	oss:PutObjectAcl	修改Bucket下某個Object的ACL。
PutObjectACL	oss:PutObjectVersionAcl	修改Bucket下指定版本Object的ACL。
GetObjectACL	oss:GetObjectAcl	擷取Bucket下某個Object的ACL。
GetObjectACL	oss:GetObjectVersionAcl	擷取Bucket下指定版本Object的ACL。
RestoreObject	oss:RestoreObject	解凍Archive Storage、冷Archive Storage或者深度冷Archive Storage類型的Object。
RestoreObject	oss:RestoreObjectVersion	解凍指定版本的Archive Storage、冷Archive Storage或者深度冷Archive Storage類型的Object。
PutObjectTagging	oss:PutObjectTagging	設定或更新Object的標籤（Tagging）資訊。
PutObjectTagging	oss:PutObjectVersionTagging	設定或更新指定版本Object的標籤（Tagging）資訊。
GetObjectTagging	oss:GetObjectTagging	擷取Object的標籤資訊。
GetObjectTagging	oss:GetObjectVersionTagging	擷取指定版本Object的標籤資訊。
DeleteObjectTagging	oss:DeleteObjectTagging	刪除指定Object的標籤資訊。
DeleteObjectTagging	oss:DeleteObjectVersionTagging	刪除指定版本Object的標籤資訊。
PutLiveChannel	oss:PutLiveChannel	通過RTMP協議上傳音視頻資料前，必須先調用該介面建立一個LiveChannel。
ListLiveChannel	oss:ListLiveChannel	列舉指定的LiveChannel。
DeleteLiveChannel	oss:DeleteLiveChannel	刪除指定的LiveChannel。
PutLiveChannelStatus	oss:PutLiveChannelStatus	在啟用（enabled）和禁用（disabled）兩種狀態之間進行切換。
GetLiveChannelInfo	oss:GetLiveChannel	擷取指定LiveChannel的配置資訊。
GetLiveChannelStat	oss:GetLiveChannelStat	擷取指定LiveChannel的推流狀態資訊。
GetLiveChannelHistory	oss:GetLiveChannelHistory	擷取指定LiveChannel的推流記錄。
PostVodPlaylist	oss:PostVodPlaylist	為指定的LiveChannel產生一個點播用的播放清單。
GetVodPlaylist	oss:GetVodPlaylist	查看指定LiveChannel在指定時間段內推流產生的播放清單。
無	oss:PublishRtmpStream	將音頻和視頻資料流推送到RTMP。
無	oss:ProcessImm	通過OSS使用IMM進行資料處理的許可權。
PostProcessTask	oss:GetObject	通過POST請求使用IMM進行資料處理的許可權。
PostProcessTask	oss:PutObject	使用IMM進行Saveas資料處理的許可權。
ImgSaveAs	oss:PostProcessTask	儲存處理後的圖片至指定Bucket。
CreateOfficeConversionTask	imm:CreateOfficeConversionTask	使用IMM進行文檔轉換或快照的許可權。
GenerateWebofficeToken	imm: GenerateWebofficeToken	用於擷取Weboffice憑證。
RefreshWebofficeToken	imm:RefreshWebofficeToken	用於重新整理Weboffice憑證。
無	oss:ReplicateGet	複製過程涉及的讀許可權。即允許OSS讀取源Bucket和目標Bucket中的資料與中繼資料，包括Object、Part、Multipart Upload等。
無	oss:ReplicatePut	複製過程涉及的寫入權限。即允許OSS對目標Bucket複製相關的寫入類操作，包括寫入Object、Multipart Upload、Part和Symlink，修改中繼資料資訊等。
無	oss:ReplicateDelete	複製過程涉及的刪除許可權。即允許OSS對目標Bucket複製相關的刪除操作，包括DeleteObject、AbortMultipartUpload、DeleteMarker等。說明僅當資料複製方式選擇增/刪/改/同步時，需要授予RAM角色該Action。

資源集區QoS

API	Action	介面描述
PutBucketQoSInfo	oss:PutBucketQoSInfo	為資源集區內的Bucket設定流控。
GetBucketQoSInfo	oss:GetBucketQoSInfo	擷取資源集區內某個Bucket的流控配置。
DeleteBucketQosInfo	oss:DeleteBucketQoSInfo	刪除資源集區內指定Bucket的流控配置。
PutBucketRequesterQoSInfo	oss:PutBucketRequesterQoSInfo	佈建要求者在Bucket層級的流控。
GetBucketRequesterQoSInfo	oss:GetBucketRequesterQoSInfo	擷取指定要求者在Bucket層級的流控配置。
ListBucketRequesterQoSInfos	oss:ListBucketRequesterQoSInfo	擷取所有要求者在Bucket層級的流控配置。
DeleteBucketRequesterQoSInfo	oss:DeleteBucketRequesterQoSInfo	刪除Bucket的某個要求者流控配置。
ListResourcePools	oss:ListResourcePools	擷取當前帳號下的所有資源集區資訊。
GetResourcePoolInfo	oss:GetResourcePoolInfo	擷取指定資源集區流控配置。
ListResourcePoolBuckets	oss:ListResourcePoolBuckets	擷取指定資源集區包含的Bucket列表。
PutResourcePoolRequesterQoSInfo	oss:PutResourcePoolRequesterQoSInfo	為資源集區的要求者配置流控。
GetResourcePoolRequesterQoSInfo	oss:GetResourcePoolRequesterQoSInfo	擷取指定要求者在資源集區的流控配置。
ListResourcePoolRequesterQoSInfos	oss:ListResourcePoolRequesterQoSInfos	擷取所有要求者在資源集區的流控配置。
DeleteResourcePoolRequesterQoSInfo	oss:DeleteResourcePoolRequesterQoSInfo	刪除指定要求者在資源集區的流控配置。

向量Bucket

API	Action	介面描述
PutVectorBucket	oss:PutVectorBucket	建立向量Bucket。
GetVectorBucket	oss:GetVectorBucket	擷取向量Bucket的詳細資料。
ListVectorBuckets	oss:ListVectorBuckets	列舉要求者擁有的所有向量Bucket。
DeleteVectorBucket	oss:DeleteVectorBucket	刪除向量Bucket。
PutBucketLogging	oss:PutBucketLogging	開啟向量Bucket日誌轉存功能。
PutBucketLogging	oss:PutObject	開啟源向量Bucket日誌轉存功能時，設定源向量Bucket日誌寫入另一個目標Bucket。
GetBucketLogging	oss:GetBucketLogging	查看向量Bucket日誌轉存配置。
DeleteBucketLogging	oss:DeleteBucketLogging	關閉向量Bucket日誌轉存功能。
PutBucketPolicy	oss:PutBucketPolicy	設定指定向量Bucket的授權策略。
GetBucketPolicy	oss:GetBucketPolicy	擷取指定向量Bucket的授權策略。
DeleteBucketPolicy	oss:DeleteBucketPolicy	刪除指定向量Bucket的授權策略。
PutVectorIndex	oss:PutVectorIndex	建立向量索引。
GetVectorIndex	oss:GetVectorIndex	擷取向量索引的詳細資料。
ListVectorIndexes	oss:ListVectorIndexes	列舉向量Bucket中的所有向量索引。
DeleteVectorIndex	oss:DeleteVectorIndex	刪除向量索引。
PutVectors	oss:PutVectors	寫入向量資料。
GetVectors	oss:GetVectors	擷取指定的向量資料。
ListVectors	oss:ListVectors	列舉向量索引中的所有向量資料。
QueryVectors	oss:QueryVectors	進行向量相似性檢索。
DeleteVectors	oss:DeleteVectors	刪除向量索引中的指定向量資料。

Resource

Resource指代某個具體資源或者某些資源，支援萬用字元星號（*）。單個Bucket Policy允許包含多個Resource。

Bucket

分類	格式	樣本
Bucket層級	`acs:oss:{region}:{bucket_owner_id}:{bucket_name}`	`acs:oss:::example-bucket`
Object層級	`acs:oss:{region}:{bucket_owner_id}:{bucket_name}/{object_name}`	`acs:oss:::example-bucket/abc.txt`
資源集區層級	`acs:oss:{region}:{account_id}:resourcepool/{resource_pool_name}`	`acs:oss:::resourcepool/resource-pool-for-ai`

說明

region欄位當前僅支援設定為萬用字元星號（*）。

向量Bucket

資源層級	格式	樣本
所有向量資源	`acs:ossvector:::` `acs:ossvector:::/*`	`acs:ossvector:::` `acs:ossvector:::/*`
向量 Bucket	`acs:ossvector:{region}:{account_id}:{bucket_name}`	`acs:ossvector:::my-vector-bucket`
向量索引	`acs:ossvector:{region}:{account_id}:{bucket_name}/{index_name}`	`acs:ossvector:::my-vector-bucket/my-index`

Condition

Condition用於指定授權生效的限制條件，由條件操作類型、條件關鍵字和條件值組成。

條件操作類型

條件操作類型	支援類型
字串類型（String）	StringEquals StringNotEquals StringEqualsIgnoreCase StringNotEqualsIgnoreCase StringLike StringNotLike
數字類型（Number）	NumericEquals NumericNotEquals NumericLessThan NumericLessThanEquals NumericGreaterThan NumericGreaterThanEquals
日期類型（Date and time）	DateEquals DateNotEquals DateLessThan DateLessThanEquals DateGreaterThan DateGreaterThanEquals
布爾類型（Boolean）	Bool
IP地址類型（IP address）	IpAddress NotIpAddress IpAddressIncludeBorder

條件關鍵字

條件關鍵字	說明
acs:SourceIp	指定普通IP網段，支援萬用字元星號（`*`）。重要配置Bucket Policy時，如果配置了`acs:SourceIp`，必須同時配置`acs:SourceVpc`。配置其他Policy時，請結合自身的網路接入架構進行配置。建議同時配置`acs:SourceIp`和`acs:SourceVpc`條件，實現雙重存取控制。單一條件可能存在安全盲區，例如僅限制公網IP時，VPC可通過公網私用方式以匹配的出口IP訪問，造成越權。
acs:SourceVpc	指定VPC，支援配置為指定的VPC ID以及`vpc-*`。說明通過`acs:SourceVpc`限制VPC來源時，確保選擇的VPC地區與OSS支援的網關終端節點地區相匹配，否則會導致鑒權請求無法關聯至對應的VPC，進而引發鑒權失敗。關於OSS支援的網關終端節點地區，請參見OSS支援的網關終端節點地區。
acs:UserAgent	指定HTTP User-Agent頭。類型：字串。
acs:CurrentTime	請求到達OSS服務端的時間。格式：ISO8601。
acs:SecureTransport	請求的協議類型。取值範圍如下： `true`：僅允許HTTPS請求訪問。 `false`：僅允許HTTP請求訪問。如果未設定`acs:SecureTransport`，表示HTTP或者HTTPS請求均可以訪問。
oss:x-oss-acl	限制Bucket ACL的類型。取值如下： `private`：私人。 `public-read`：公用讀取。 `public-read-write`：公用讀寫。更多資訊，請參見Bucket ACL。
oss:x-oss-object-acl	限制Object ACL的類型。取值如下： `private`：私人。 `public-read`：公用讀取。 `public-read-write`：公用讀寫。 `default`：繼承Bucket ACL。更多資訊，請參見Object ACL。
oss:Prefix	用於ListObjects請求時，列舉指定首碼的Object。
oss:Delimiter	用於ListObjects請求時，對Object名字進行分組的字元。
acs:AccessId	請求中攜帶的AccessId。
oss:BucketTag	儲存空間標籤（BucketTag）。單個BucketTag可以作為一個Condition。當設定多個BucketTag時，需在每個BucketTag前加上`oss:BucketTag/`，組成多個Condition。
acs:MFAPresent	是否啟用了多因素認證MFA（Multi-factor authentication）。取值： `true`：已啟用多因素認證。 `false`：未啟用多因素認證。
oss:ExistingObjectTag	請求的Object已存在標籤。單個ObjectTag可以作為一個Condition。多個ObjectTag時，需在每個ObjectTag前加上`oss:ExistingObjectTag/`。主要針對`GetObject`、`HeadObject`等讀取檔案介面以及`PutObjectTagging`、`GetObjectTagging`等ObjectTagging介面。
oss:RequestObjectTag	請求中攜帶的對象標籤。單個ObjectTag可以作為一個Condition。多個ObjectTag時，需在每個ObjectTag前加上`oss:RequestObjectTag/`。主要針對`PutObject`、`PostObject`等寫入檔案介面以及`PutObjectTagging`、`GetObjectTagging`等ObjectTagging介面。
oss:object-remaining-retention-days	Object保留原則的剩餘保留天數。可通過`NumericLessThanEquals`或`NumericGreaterThan`等數值條件操作符限制使用者可設定的保留時間長度上限。例如，通過Deny策略配合`NumericGreaterThan`可以限制使用者最多隻能設定指定天數的保留原則。適用於`oss:PutObjectRetention`操作。

Object Storage Service：授權文法與元素

授權文法

文法結構

欄位說明

Statement元素

Action

Service層級

Bucket層級

Object層級

資源集區QoS

向量Bucket

Resource

Bucket

向量Bucket

Condition

條件操作類型

條件關鍵字

相關文檔