对象存储 OSS：使用STS临时访问凭证访问OSS

前提条件

已确保当前账号为阿里云账号或者被授予AliyunRAMFullAccess权限的RAM用户。关于为RAM用户授权的具体步骤，请参见为RAM用户授权。

适用场景

假设您是一个移动App开发者，希望使用阿里云OSS服务来保存App的终端用户数据，并且要保证每个App用户之间的数据隔离。此时，您可以使用STS授权用户直接访问OSS。

使用STS授权用户直接访问OSS的流程如下：

1. App用户登录。App用户和云账号无关，它是App的终端用户，App服务器支持App用户登录。对于每个有效的App用户来说，需要App服务器能定义出每个App用户的最小访问权限。

2. App服务器请求STS服务获取一个安全令牌（SecurityToken）。在调用STS之前，App服务器需要确定App用户的最小访问权限（用RAM Policy来自定义授权策略）以及凭证的过期时间。然后通过扮演角色（AssumeRole）来获取一个代表角色身份的安全令牌（SecurityToken）。

3. STS返回给App服务器一个临时访问凭证，包括一个安全令牌（SecurityToken）、临时访问密钥（AccessKeyId和AccessKeySecret）以及过期时间。

4. App服务器将临时访问凭证返回给App客户端，App客户端可以缓存这个凭证。当凭证失效时，App客户端需要向App服务器申请新的临时访问凭证。例如，临时访问凭证有效期为1小时，那么App客户端可以每30分钟向App服务器请求更新临时访问凭证。

5. App客户端使用本地缓存的临时访问凭证去请求OSS API。OSS收到访问请求后，会通过STS服务来验证访问凭证，正确响应用户请求。

步骤一：创建RAM用户

1. 登录RAM控制台。

2. 在左侧导航栏，选择身份管理>用户。

3. 单击创建用户。

4. 输入登录名称和显示名称。

5. 在访问方式区域下，选择OpenAPI调用访问，然后单击确定。

6. 单击复制，保存访问密钥（AccessKey ID 和 AccessKey Secret）。

步骤二：为RAM用户授予请求AssumeRole的权限

1. 单击已创建RAM用户右侧对应的添加权限。

2. 在添加权限页面，选择AliyunSTSAssumeRoleAccess系统策略。

3. 单击确定。

步骤三：创建用于获取临时访问凭证的角色

1. 在左侧导航栏，选择身份管理>角色。

2. 单击创建角色，选择可信实体类型为阿里云账号，单击下一步。

3. 在创建角色对话框，角色名称填写为RamOssTest，选择信任的云账号为当前云账号。

4. 单击完成。角色创建完成后，单击关闭。

5. 在角色页面，搜索框输入角色名称RamOssTest，然后单击RamOssTest。

6. 单击ARN右侧的复制，保存角色的ARN。

步骤四：为角色授予上传文件的权限

1. 创建上传文件的自定义权限策略。

   1. 在左侧导航栏，选择权限管理>权限策略。

   2. 在权限策略页面，单击创建权限策略。

   3. 在创建权限策略页面，单击脚本编辑，然后在策略文档输入框中赋予角色向目标存储空间examplebucket下的src以及dest目录上传文件的权限。具体配置示例如下。

      警告

      以下示例仅供参考。您需要根据实际需求配置更细粒度的授权策略，防止出现权限过大的风险。关于更细粒度的授权策略配置详情，请参见通过RAM或STS服务向其他用户授权。

      {
          "Version": "1",
          "Statement": [
           {
                 "Effect": "Allow",
                 "Action": [
                   "oss:PutObject"
                 ],
                 "Resource": [
                   "acs:oss:*:*:examplebucket/src/*",
                   "acs:oss:*:*:examplebucket/dest/*"
                 ]
           }
          ]
      }

   4. 策略配置完成后，单击继续编辑基本信息。

   5. 在基本信息区域，填写策略名称为RamTestPolicy，然后单击确定。

2. 为RAM角色RamOssTest授予自定义权限策略。

   1. 在左侧导航栏，选择身份管理 > 角色。

   2. 在角色页面，找到目标RAM角色RamOssTest。

   3. 单击RAM角色RamOssTest右侧的添加权限。

   4. 在添加权限页面下的自定义策略页签，选择已创建的自定义权限策略RamTestPolicy。

   5. 单击确定。

步骤五：获取临时访问凭证

步骤六：使用临时访问凭证上传文件至OSS

以Java SDK 3.12.0版本为例，将本地D:\\localpath路径下的exampletest.txt文件上传至存储空间examplebucket下的src目录的示例代码如下：

import com.aliyun.oss.OSS;
import com.aliyun.oss.OSSClientBuilder;
import com.aliyun.oss.OSSException;
import com.aliyun.oss.model.PutObjectRequest;
import com.aliyuncs.exceptions.ClientException;

import java.io.File;

public class Demo {
    public static void main(String[] args) throws ClientException {
// Endpoint以杭州为例，其它Region请按实际情况填写。
 String endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
// 从环境变量中获取步骤5生成的临时访问密钥AccessKey ID和AccessKey Secret，非阿里云账号AccessKey ID和AccessKey Secret。
String accessKeyId = System.getenv("OSS_ACCESS_KEY_ID");
String accessKeySecret = System.getenv("OSS_ACCESS_KEY_SECRET");
// 从环境变量中获取步骤5生成的安全令牌SecurityToken。
String securityToken = System.getenv("OSS_SESSION_TOKEN");

// 创建OSSClient实例。
OSS ossClient = new OSSClientBuilder().build(endpoint, accessKeyId, accessKeySecret, securityToken);
// 将本地文件exampletest.txt上传至目标存储空间examplebucket下的src目录。
PutObjectRequest putObjectRequest = new PutObjectRequest("examplebucket", "src/exampletest.txt", new File("D:\\localpath\\exampletest.txt"));

// ObjectMetadata metadata = new ObjectMetadata();
// 上传文件时设置存储类型。
// metadata.setHeader(OSSHeaders.OSS_STORAGE_CLASS, StorageClass.Standard.toString());
// 上传文件时设置读写权限ACL。
// metadata.setObjectAcl(CannedAccessControlList.Private);
// putObjectRequest.setMetadata(metadata);

try {
     // 上传文件。
     ossClient.putObject(putObjectRequest);
    } catch (OSSException oe) {
        System.out.println("Caught an OSSException, which means your request made it to OSS, "
                + "but was rejected with an error response for some reason.");
        System.out.println("Error Message:" + oe.getErrorMessage());
        System.out.println("Error Code:" + oe.getErrorCode());
        System.out.println("Request ID:" + oe.getRequestId());
        System.out.println("Host ID:" + oe.getHostId());
    } finally {
        if (ossClient != null) {
            ossClient.shutdown();
        }
    }
}
}

关于上传文件时支持设置的存储类型的更多信息，请参见存储类型概述。关于上传文件时支持设置的读写权限ACL的更多信息，请参见Object ACL。

Object上传成功后，关于如何获取访问URL的具体操作，请参见获取单个或多个文件的URL。

常见问题

报错The security token you provided is invalid.如何处理？

请确保完整填写步骤五获取到的SecurityToken。

报错The OSS Access Key Id you provided does not exist in our records.如何处理？

临时访问凭证已过期，过期后自动失效。请使用临时访问密钥（AccessKeyId和AccessKeySecret）向App服务器申请新的临时访问凭证。具体操作，请参见步骤五。

报错AccessDenied : Anonymous access is forbidden for this operation.如何处理？

通过步骤五获取临时访问凭证时，您需要使用填写步骤一生成的RAM用户访问密钥AccessKey ID和AccessKey Secret，非阿里云账号AccessKey ID和AccessKey Secret。

报错NoSuchBucket如何处理？

出现该报错的原因是指定的Bucket不存在。请检查并配置正确的Bucket名称。

通过临时访问凭证操作OSS资源时报错You have no right to access this object because of bucket acl.如何处理？

出现该报错通常是Policy设置错误，例如Resource填写不完整。关于Policy涉及的各个元素的更多信息，请参见RAM Policy概述。

通过临时访问凭证操作OSS资源时报错Access denied by authorizer's policy.如何处理？

出现该报错通常是无权限执行相关操作。临时访问凭证最终获取的权限是步骤四设置的角色权限和步骤五中Policy设置权限的交集。请通过以下示例检查您在这两个步骤中设置的权限交集。

• 示例一

  步骤四设置的角色权限为AliyunOSSFullAccess系统权限，步骤五Policy中设置了oss:PutObject权限，则临时访问凭证最终获取的权限为oss:PutObject，即仅支持执行向指定Bucket上传文件的操作。

• 示例二

  步骤四设置的角色权限为oss:PutObject系统权限，步骤五Policy中设置了oss:GetObject权限，则临时访问凭证最终未获取任何权限，即无法向指定Bucket执行任何操作。

报错The bucket you are attempting to access must be addressed using the specified endpoint.如何处理？

出现该报错的原因是步骤六中的Endpoint参数填写错误。您需要根据Bucket所在Region填写对应的Endpoint。关于Region与Endpoint对应关系的说明，请参见访问域名和数据中心。

是否支持同时获取多个临时访问凭证？

支持。发起一次请求仅返回一个临时访问凭证。如果您希望获取多个临时访问凭证，您需要发起多次请求。在有效期内，您可以同时使用获取到的多个临时访问凭证。

报错时间格式不正确如何处理？

如果调用时报错时间格式不正确，可能是由于Timestamp参数中间多余空格，请排查修改。

请求的时间戳日期格式按照ISO8601标准表示，并需要使用UTC时间。格式为：YYYY-MM-DDThh:mm:ssZ。例如，2014-05-26T12:00:00Z（为北京时间2014年5月26日20点0分0秒）。