Object Storage Service：阻止公用訪問

工作原理

阻止公用訪問通過多層級訪問限制機制保護資料安全。開啟後，OSS會忽略Bucket Policy和ACL中的公用存取權限配置，同時阻止建立新的公用存取權限；關閉後，已有許可權恢複生效，並允許建立新的公用存取權限。

OSS支援在以下四個維度開啟阻止公用訪問，當不同維度設定不一致時，遵循以下優先順序：

OSS全域 ＞ 單個Bucket > 單個存取點 > 單個對象FC存取點

上層開啟阻止公用訪問後，下層無論如何設定都不允許公用訪問：

• 如果希望單個Bucket允許公用訪問，需關閉OSS全域和該Bucket的阻止公用訪問。

• 如果希望單個存取點允許公用訪問，需關閉OSS全域、存取點關聯的Bucket和該存取點的阻止公用訪問。

• 如果希望單個對象FC存取點允許公用訪問，需關閉OSS全域、對象FC存取點關聯的存取點、存取點關聯的Bucket和該對象FC存取點的阻止公用訪問。

開啟方式

ossutil api put-public-access-block --public-access-block-configuration "{\"BlockPublicAccess\":\"true\"}"

ossutil api put-bucket-public-access-block --bucket example-bucket --public-access-block-configuration "{\"BlockPublicAccess\":\"true\"}"

ossutil api put-access-point-public-access-block --bucket example-bucket --access-point-name example-ap --public-access-block-configuration "{\"BlockPublicAccess\":\"true\"}"

判斷是否包含公用訪問語義

需要結合Bucket Policy和ACL（包括Bucket ACL和Object ACL）判斷OSS資源是否包含公用訪問的語義。如果存在任意一種包含公用訪問的語義，資源可能存在安全風險，建議開啟阻止公用訪問功能。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:GetObject"
      ],
      "Principal": [
        "20214760404935xxxx"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:examplebucket/*"
      ]
    }
  ]
}

配額與限制

• RAM使用者佈建阻止公用訪問需要以下許可權：

  阻止公用訪問維度	要求的權限
  OSS全域	oss:PutPublicAccessBlock、oss:GetPublicAccessBlock、oss:DeletePublicAccessBlock
  Bucket	oss:PutBucketPublicAccessBlock、oss:GetBucketPublicAccessBlock、oss:DeleteBucketPublicAccessBlock
  存取點	oss:PutAccessPointPublicAccessBlock、oss:GetAccessPointPublicAccessBlock、oss:DeleteAccessPointPublicAccessBlock
  對象FC存取點	oss:PutAccessPointConfigForObjectProcess、oss:GetAccessPointConfigForObjectProcess、oss:DeleteAccessPointForObjectProcess

• 如果在Bucket Policy中設定了允許任何人操作存取點的管控API，即使該存取點開啟了阻止公用訪問，使用者仍然可以通過Bucket第三層網域名修改該存取點的阻止公用訪問，原因是通過Bucket第三層網域名訪問的請求不受存取點的配置影響。

• 對於跨地區或者同地區複製，無論源Bucket和目標Bucket是否開啟阻止公用訪問，均不影響複製前後的Object ACL。如果目標Bucket開啟了阻止公用訪問，則複製到目標Bucket中ACL為公用讀取或者公用讀寫的Object，仍不允許公用訪問。

API說明

如果程式自訂要求較高，可以直接發起REST API請求。直接發起REST API請求需要手動編寫代碼計算簽名。

變更影響與遷移指引

將 Bucket ACL 從公用讀取（public-read）改為私人（private）並開啟阻止公用訪問後，已有的匿名存取權限會被忽略，依賴匿名 URL 訪問 Object 的業務將中斷，請求返回403 Forbidden：

AccessDenied
You have no right to access this object because of bucket acl.

替代匿名訪問的方案對比如下：

• 簽名 URL：適用於臨時授權情境，需在產生時指定有效期間，有效期間內持有簽名 URL 的任何人均可訪問。

• Bucket Policy：適用於長期授權特定來源、IP 或 Referer 的情境，可精細控制允許訪問的主體，無需為每次訪問單獨產生連結。

遷移建議：先在測試 Bucket 中驗證簽名 URL 或 Bucket Policy 可正常訪問，再選擇業務非高峰期變更 Bucket ACL 並開啟阻止公用訪問，確認業務無影響後，在生產環境執行相同操作。

常見問題

相關文檔

阻止公用訪問用於管控OSS全域、Bucket、存取點及對象FC存取點的許可權。

• 如果需要細粒度地管控Bucket內的部分資源或單個Object的許可權，請結合使用Bucket Policy和Object ACL。

• 在多帳號情境下，如需強制統一開啟阻止公用訪問功能，請使用Control Policy進行集中管控。

監控警示配置

阻止公用訪問狀態變更屬於管控類操作，不會記錄在即時訪問日誌中，需要通過Action Trail事件跟蹤或 API 輪詢兩種方式監控狀態變更並配置警示。