Object Storage Service:Authorization process

OSS anonim olmayan bir istek aldığında; isteği kimlik doğrulama sonucuna, rol tabanlı oturum ilkelerine, kimlik tabanlı ilkelere (RAM ilkeleri), paket ilkelerine, nesne erişim kontrol listelerine (ACL) ve paket ACL'lerine göre değerlendirerek iz vermeye veya reddetmeye karar verir.

Akış şeması üç olası sonucu gösterir:

• İzin Ver: Geçerli ilke tarafından istek onaylanır.

• Açık Reddet: Geçerli ilke tarafından istek açıkça reddedilir.

• Örtülü Reddet: Uygulanabilir bir ilke bulunmaz veya hiçbir ilke İzin Ver ya da Açık Reddet sonucu üretmez.

OSS anonim olmayan bir isteği aşağıdaki sırayla değerlendirir:

1. OSS istek kimliğini doğrular.

   OSS, istekteki imzayı OSS sunucusunun hesapladığı imza ile karşılaştırır.

   • İmzalar eşleşmezse: OSS isteği reddeder.

   • İmzalar eşleşirse: OSS, isteğin rol tabanlı oturum ilkelerine tabi olup olmadığını denetler.

2. OSS rol tabanlı oturum ilkelerinin uygulanıp uygulanmadığını denetler.

   Evet: OSS isteği oturum ilkelerine göre değerlendirir.

   • Açık Reddet veya Örtülü Reddet: OSS isteği reddeder.

   • İzin Ver: OSS RAM ilkelerini ve paket ilkelerini denetlemeye devam eder.

   Hayır: OSS oturum ilkesi değerlendirmesini atlar ve RAM ilkeleri ile paket ilkelerine geçer.

3. OSS RAM ilkelerini ve paket ilkelerini değerlendirir.

   RAM ilkeleri, hangi kimliklerin OSS kaynaklarınıza erişebileceğini kontrol eden kimlik tabanlı erişim kontrol ilkeleridir. OSS, isteği kimin gönderdiğine bağlı olarak sonucu belirler:

   • Alibaba Cloud hesabının AccessKey çifti: OSS isteği örtülü olarak reddeder.

   • Bir RAM kullanıcısının AccessKey çifti veya Alibaba Cloud hesabına ya da RAM kullanıcısının sahibine ait olmayan bir pakete erişmek için kullanılan Security Token Service (STS) kimlik bilgileri: OSS isteği örtülü olarak reddeder.

   • Diğer durumlarda OSS isteği doğrulamak için RAM'i çağırır. OSS, hesap ve paketin kaynak grubu bazında kimlik doğrulamayı destekler; sonuca göre isteğe izin vermeye, açıkça reddetmeye veya örtülü olarak reddetmeye karar verir.

   Paket ilkeleri kaynak tabanlı yetkilendirme ilkeleridir. Paket sahibi, RAM kullanıcılarına veya diğer Alibaba Cloud hesaplarına paket üzerinde ya da içindeki belirli kaynaklarda işlem yapma izni vermek için paket ilkelerini kullanabilir.

   • Paket ilkesi yapılandırılmamışsa: OSS isteği örtülü olarak reddeder.

   • Paket ilkesi mevcutsa: OSS isteğin ilkeyle eşleşip eşleşmediğini denetler ve İzin Ver, Açık Reddet veya Örtülü Reddet sonucunu döndürür.

4. OSS birleştirilmiş sonuçta Açık Reddet olup olmadığını denetler.

   Herhangi bir ilke Açık Reddet sonucu üretirse OSS isteği reddeder. Aksi durumda OSS, herhangi bir ilkenin İzin Ver sonucu üretip üretmediğini denetler.

   1. OSS RAM ilkeleri ve paket ilkelerinde İzin Ver sonucunu arar.

      Herhangi bir ilke İzin Ver sonucu üretirse OSS isteğe izin verir. Aksi takdirde OSS istek kaynağını denetler.

   2. OSS istek kaynağını denetler.

      Management API istekleri reddedilir. Data API istekleri ACL değerlendirmesine ilerler.

      Management API işlemleri arasında GetService (ListBuckets) gibi hizmet işlemleri, PutBucket ve GetBucketLifecycle gibi paket işlemleri ile PutLiveChannel ve DeleteLiveChannel gibi LiveChannel işlemleri yer alır.

      Data API işlemleri arasında PutObject ve GetObject gibi nesne işlemleri yer alır.

5. OSS nesne ACL'sini ve paket ACL'sini değerlendirir.

   Nesne ACL'sini denetlerken OSS, istekte bulunanın paket sahibi olup olmadığını ve isteğin okuma mı yoksa yazma işlemi mi olduğunu belirler. Daha fazla bilgi için bkz. PutBucketAcl.

   • İzin Ver: OSS isteğe izin verir.

   • Reddet: OSS isteği reddeder.

   Nesne ACL'si paketten devralacak şekilde ayarlandıysa OSS paket ACL'sine geri döner.

   Paket ACL'sini denetlerken OSS, istekte bulunanın paket sahibi olup olmadığını belirler. Daha fazla bilgi için bkz. PutBucketAcl.

   • İzin Ver: OSS isteğe izin verir.

   • Reddet: OSS isteği reddeder.

Anonim isteklerde OSS kimlik doğrulama, rol tabanlı oturum ilkeleri ve RAM ilkelerini tamamen atlar. Karar yalnızca paket ilkelerine, nesne ACL'lerine ve paket ACL'lerine dayanır.

OSS anonim bir isteği aşağıdaki sırayla değerlendirir:

1. OSS paket ilkelerini değerlendirir.

   • Reddet: OSS isteği reddeder.

   • İzin Ver: OSS isteğe izin verir.

   • Yoksay (eşleşen ilke yok): OSS ACL değerlendirmesine geçer.

2. OSS nesne ACL'sini ve paket ACL'sini değerlendirir.

   • Nesne ACL'si özel ise: OSS isteği reddeder.

   • Nesne ACL'si public-read veya public-read-write ise: OSS isteğe izin verir.

   • Nesne ACL'si paketten devralacak şekilde ayarlandıysa: OSS paket ACL'sini denetler.

     • Paket ACL'si public-read veya public-read-write ise: OSS isteğe izin verir.

     • Paket ACL'si özel ise: OSS isteği reddeder.