OSS授权语法与元素 - 对象存储 OSS

OSS通过JSON格式的授权策略实现资源的精细化访问控制，以下提供授权策略的语法和元素速查参考，帮助快速、准确地完成复杂权限配置。

授权语法

OSS授权策略采用JSON格式，包含Version（版本号）和Statement（授权语句）两个核心字段。

语法结构

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow|Deny",
            "Action": ["oss:ActionName"],
            "Principal": ["UID|*"],
            "Resource": ["acs:oss:*:*:bucket-name/*"],
            "Condition": {
                "ConditionOperator": {
                    "ConditionKey": ["Value"]
                }
            }
        }
    ]
}

字段说明

字段	说明	是否必填
Version	权限策略版本，固定为`1`，不允许修改。	是
Statement	策略语句的主体，包含一条或多条具体的授权/拒绝规则。	是

Statement元素

元素	说明	是否必填
Effect	策略的效力，可选值为`Allow`（允许）或`Deny`（拒绝）。	是
Action	对资源执行的具体操作，支持使用通配符`*`。	是
Principal	策略作用的主体（用户、账号、角色等）。当配置为空列表`[ ]`时，行为与配置为`["*"]`相同。注意：RAM Policy不包含此字段。	Bucket Policy必填
Resource	策略作用的资源范围，支持使用通配符`*`。	是
Condition	策略生效的条件。当配置多个条件时，所有条件必须同时满足（AND关系），策略才会生效。	否

Action

Action按照操作范围分为Service级别、Bucket级别和Object级别的操作。

Service级别

API	Action	接口描述
ListBuckets（GetService）	oss:ListBuckets	列举请求者拥有的所有Bucket。
ListUserDataRedundancyTransition	oss:ListUserDataRedundancyTransition	列举请求者所有的存储冗余转换任务。
无	oss:ActivateProduct	开通OSS以及内容安全检测服务。
无	oss:CreateOrder	创建OSS资源包的订单。
PutPublicAccessBlock	oss:PutPublicAccessBlock	为OSS全局开启阻止公共访问。
GetPublicAccessBlock	oss:GetPublicAccessBlock	获取OSS全局阻止公共访问的配置信息。
DeletePublicAccessBlock	oss:DeletePublicAccessBlock	删除OSS全局阻止公共访问配置信息。

Bucket级别

API	Action	接口描述
PutBucket	oss:PutBucket	创建Bucket。
GetBucket (ListObjects)	oss:ListObjects	列举Bucket中所有Object的信息。
GetBucketInfo	oss:GetBucketInfo	查看Bucket相关信息。
GetBucketLocation	oss:GetBucketLocation	查看Bucket位置信息。
GetBucketStat	oss:GetBucketStat	获取Bucket存储容量以及文件数量。
PutBucketVersioning	oss:PutBucketVersioning	设置指定Bucket的版本控制状态。
GetBucketVersioning	oss:GetBucketVersioning	获取指定Bucket的版本控制状态。
ListObjectVersions（GetBucketVersions）	oss:ListObjectVersions	列出Bucket中包括删除标记（Delete Marker）在内的所有Object的版本信息。
PutBucketAcl	oss:PutBucketAcl	设置或修改Bucket ACL。
GetBucketAcl	oss:GetBucketAcl	获取Bucket ACL。
DeleteBucket	oss:DeleteBucket	删除某个Bucket。
InitiateBucketWorm	oss:InitiateBucketWorm	新建合规保留策略。
AbortBucketWorm	oss:AbortBucketWorm	删除未锁定的合规保留策略。
CompleteBucketWorm	oss:CompleteBucketWorm	锁定合规保留策略。
ExtendBucketWorm	oss:ExtendBucketWorm	延长已锁定的合规保留策略对应Bucket中Object的保留天数。
GetBucketWorm	oss:GetBucketWorm	获取合规保留策略信息。
PutBucketObjectWormConfiguration	oss:PutBucketObjectWormConfiguration	设置或修改Bucket的对象级别保留策略配置。
GetBucketObjectWormConfiguration	oss:GetBucketObjectWormConfiguration	获取Bucket的对象级别保留策略配置信息。
PutObjectRetention	oss:PutObjectRetention	为单个Object版本设置或修改保留策略。
GetObjectRetention	oss:GetObjectRetention	获取单个Object版本的保留策略信息。
PutBucketLogging	oss:PutBucketLogging	开启Bucket日志转存功能。
PutBucketLogging	oss:PutObject	开启源Bucket日志转存功能时，设置源Bucket日志写入另一个目标Bucket。
GetBucketLogging	oss:GetBucketLogging	查看Bucket日志转存配置。
DeleteBucketLogging	oss:DeleteBucketLogging	关闭Bucket日志转存功能。
PutBucketWebsite	oss:PutBucketWebsite	设置Bucket为静态网站托管模式并设置其跳转规则（RoutingRule）。
GetBucketWebsite	oss:GetBucketWebsite	查看Bucket的静态网站托管状态以及跳转规则。
DeleteBucketWebsite	oss:DeleteBucketWebsite	关闭Bucket的静态网站托管模式以及跳转规则。
PutBucketReferer	oss:PutBucketReferer	设置Bucket的防盗链。
GetBucketReferer	oss:GetBucketReferer	查看Bucket的防盗链（Referer）相关配置。
PutBucketLifecycle	oss:PutBucketLifecycle	设置Bucket的生命周期规则。
GetBucketLifecycle	oss:GetBucketLifecycle	查看Bucket的生命周期规则。
DeleteBucketLifecycle	oss:DeleteBucketLifecycle	删除Bucket的生命周期规则。
PutBucketTransferAcceleration	oss:PutBucketTransferAcceleration	设置Bucket传输加速。
GetBucketTransferAcceleration	oss:GetBucketTransferAcceleration	查看Bucket的传输加速配置。
ListMultipartUploads	oss:ListMultipartUploads	列举所有执行中的Multipart Upload事件，即已经初始化但还未完成（Complete）或者还未中止（Abort）的Multipart Upload事件。
PutBucketCors	oss:PutBucketCors	设置指定Bucket的跨域资源共享CORS（Cross-Origin Resource Sharing）规则。
GetBucketCors	oss:GetBucketCors	获取指定Bucket当前的跨域资源共享CORS规则。
DeleteBucketCors	oss:DeleteBucketCors	关闭指定Bucket对应的跨域资源共享CORS功能并清空所有规则。
PutBucketPolicy	oss:PutBucketPolicy	设置指定Bucket的授权策略。
GetBucketPolicy	oss:GetBucketPolicy	获取指定Bucket的授权策略。
DeleteBucketPolicy	oss:DeleteBucketPolicy	删除指定Bucket的授权策略。
PutBucketTags	oss:PutBucketTagging	添加或修改指定Bucket的标签。
GetBucketTags	oss:GetBucketTagging	获取Bucket的标签。
DeleteBucketTags	oss:DeleteBucketTagging	删除Bucket的标签。
PutBucketEncryption	oss:PutBucketEncryption	配置Bucket的加密规则。
GetBucketEncryption	oss:GetBucketEncryption	获取Bucket的加密规则。
DeleteBucketEncryption	oss:DeleteBucketEncryption	删除Bucket的加密规则。
PutBucketRequestPayment	oss:PutBucketRequestPayment	设置请求者付费模式。
GetBucketRequestPayment	oss:GetBucketRequestPayment	获取请求者付费模式配置信息。
PutBucketReplication	oss:PutBucketReplication	设置Bucket的数据复制规则。
PutBucketReplication	oss:ReplicateGet	设置Bucket的跨账号数据复制规则或指定RAM角色复制方式。
PutBucketRTC	oss:PutBucketRTC	为已有的跨区域复制规则开启或关闭数据复制时间控制（RTC）功能。
GetBucketReplication	oss:GetBucketReplication	获取Bucket已设置的数据复制规则。
DeleteBucketReplication	oss:DeleteBucketReplication	停止Bucket的数据复制并删除Bucket的复制配置。
GetBucketReplicationLocation	oss:GetBucketReplicationLocation	获取可复制到的目标Bucket的所在地域。
GetBucketReplicationProgress	oss:GetBucketReplicationProgress	获取Bucket的数据复制进度。
PutBucketInventory	oss:PutBucketInventory	配置Bucket的清单（Inventory）规则。
GetBucketInventory	oss:GetBucketInventory	查看Bucket中指定的清单任务。
ListBucketInventory	oss:GetBucketInventory	批量获取Bucket中所有清单任务。
DeleteBucketInventory	oss:DeleteBucketInventory	删除Bucket中指定的清单任务。
PutBucketAccessMonitor	oss:PutBucketAccessMonitor	配置Bucket的访问跟踪状态。
GetBucketAccessMonitor	oss:GetBucketAccessMonitor	获取Bucket的访问跟踪状态。
OpenMetaQuery	oss:OpenMetaQuery	开启Bucket的元数据管理功能。
GetMetaQueryStatus	oss:GetMetaQueryStatus	获取Bucket的元数据索引库信息。
DoMetaQuery	oss:DoMetaQuery	查询满足指定条件的Object，并按照指定字段和排序方式列出Object信息。
CloseMetaQuery	oss:CloseMetaQuery	关闭Bucket的元数据管理功能.
InitUserAntiDDosInfo	oss:InitUserAntiDDosInfo	创建高防OSS实例。
UpdateUserAntiDDosInfo	oss:UpdateUserAntiDDosInfo	更改高防OSS实例状态。
GetUserAntiDDosInfo	oss:GetUserAntiDDosInfo	查询指定账号下的高防OSS实例信息。
InitBucketAntiDDosInfo	oss:InitBucketAntiDDosInfo	初始化Bucket防护。
UpdateBucketAntiDDosInfo	oss:UpdateBucketAntiDDosInfo	更新Bucket防护状态。
ListBucketAntiDDosInfo	oss:ListBucketAntiDDosInfo	获取Bucket防护信息列表。
PutBucketResourceGroup	oss:PutBucketResourceGroup	设置Bucket所属资源组。
GetBucketResourceGroup	oss:GetBucketResourceGroup	查询Bucket所属资源组ID。
CreateCnameToken	oss:CreateCnameToken	创建域名所有权验证所需的CnameToken。
GetCnameToken	oss:GetCnameToken	获取已创建的CnameToken。
PutCname	oss:PutCname	为Bucket绑定自定义域名。
PutCname	yundun-cert:DescribeSSLCertificatePrivateKey yundun-cert:DescribeSSLCertificatePublicKeyDetail yundun-cert:CreateSSLCertificate	为Bucket绑定自定义域名时，绑定证书。
ListCname	oss:ListCname	获取Bucket下绑定的所有的自定义域名（Cname）列表。
DeleteCname	oss:DeleteCname	删除Bucket已绑定的Cname。
PutStyle	oss:PutStyle	设置图片样式。
GetStyle	oss:GetStyle	获取图片样式。
ListStyle	oss:ListStyle	列举图片样式。
DeleteStyle	oss:DeleteStyle	删除图片样式。
PutBucketArchiveDirectRead	oss:PutBucketArchiveDirectRead	为Bucket开启或关闭归档直读。
GetBucketArchiveDirectRead	oss:GetBucketArchiveDirectRead	查看Bucket是否开启归档直读。
CreateAccessPoint	oss:CreateAccessPoint	创建接入点。
GetAccessPoint	oss:GetAccessPoint	获取单个接入点信息。
DeleteAccessPoint	oss:DeleteAccessPoint	删除接入点。
ListAccessPoints	oss:ListAccessPoints	获取用户级别及Bucket级别的接入点信息。
PutAccessPointPolicy	oss:PutAccessPointPolicy	配置接入点策略。
GetAccessPointPolicy	oss:GetAccessPointPolicy	获取接入点策略信息。
DeleteAccessPointPolicy	oss:DeleteAccessPointPolicy	删除接入点策略。
PutBucketHttpsConfig	oss:PutBucketHttpsConfig	为Bucket开启或关闭TLS版本设置。
GetBucketHttpsConfig	oss:GetBucketHttpsConfig	查看Bucket的TLS版本设置。
无	oss:ReplicateList	复制过程涉及的列举权限。即允许OSS先列举源Bucket的历史数据，再逐一对历史数据进行复制。
CreateAccessPointForObjectProcess	oss:CreateAccessPointForObjectProcess	创建对象FC接入点。
GetAccessPointForObjectProcess	oss:GetAccessPointForObjectProcess	获取对象FC接入点基础信息。
DeleteAccessPointForObjectProcess	oss:DeleteAccessPointForObjectProcess	删除对象FC接入点。
ListAccessPointsForObjectProcess	oss:ListAccessPointsForObjectProcess	获取用户级别的对象FC接入点信息。
PutAccessPointConfigForObjectProcess	oss:PutAccessPointConfigForObjectProcess	修改对象FC接入点配置。
GetAccessPointConfigForObjectProcess	oss:GetAccessPointConfigForObjectProcess	获取对象FC接入点配置信息。
PutAccessPointPolicyForObjectProcess	oss:PutAccessPointPolicyForObjectProcess	为对象FC接入点配置权限策略。
GetAccessPointPolicyForObjectProcess	oss:GetAccessPointPolicyForObjectProcess	获取对象FC接入点的权限策略配置。
DeleteAccessPointPolicyForObjectProcess	oss:DeleteAccessPointPolicyForObjectProcess	删除对象FC接入点的权限策略。
WriteGetObjectResponse	oss:WriteGetObjectResponse	自定义返回数据和响应标头。
CreateBucketDataRedundancyTransition	oss:CreateBucketDataRedundancyTransition	创建存储冗余转换任务。
GetBucketDataRedundancyTransition	oss:GetBucketDataRedundancyTransition	获取存储冗余转换任务。
DeleteBucketDataRedundancyTransition	oss:DeleteBucketDataRedundancyTransition	删除存储冗余转换任务。
ListBucketDataRedundancyTransition	oss:ListBucketDataRedundancyTransition	列举某个Bucket下所有的存储冗余转换任务。
PutBucketPublicAccessBlock	oss:PutBucketPublicAccessBlock	为某个Bucket开启阻止公共访问。
GetBucketPublicAccessBlock	oss:GetBucketPublicAccessBlock	获取某个Bucket的阻止公共访问配置信息。
DeleteBucketPublicAccessBlock	oss:DeleteBucketPublicAccessBlock	删除某个Bucket的阻止公共访问配置信息。
PutAccessPointPublicAccessBlock	oss:PutAccessPointPublicAccessBlock	为某个接入点开启阻止公共访问。
GetAccessPointPublicAccessBlock	oss:GetAccessPointPublicAccessBlock	获取某个接入点的阻止公共访问配置信息。
DeleteAccessPointPublicAccessBlock	oss:DeleteAccessPointPublicAccessBlock	删除某个接入点的阻止公共访问配置信息。
GetBucketPolicyStatus	oss:GetBucketPolicyStatus	查看当前Bucket Policy是否允许公共访问。
PutBucketOverwriteConfig	oss:PutBucketOverwriteConfig	设置Bucket的禁止覆盖写配置。
GetBucketOverwriteConfig	oss:GetBucketOverwriteConfig	获取Bucket的禁止覆盖写配置。
DeleteBucketOverwriteConfig	oss:DeleteBucketOverwriteConfig	删除Bucket的禁止覆盖写配置。

Object级别

API	Action	接口描述
PutObject	oss:PutObject	上传文件（Object）。
	oss:PutObjectTagging	上传文件时，通过x-oss-tagging指定Object的标签。
	kms:GenerateDataKey kms:Decrypt	上传文件时，指定Object的元数据包含X-Oss-Server-Side-Encryption: KMS。
PostObject	oss:PutObject	通过HTML表单上传的方式将Object上传到指定Bucket。
AppendObject	oss:PutObject	以追加写的方式上传Object。
AppendObject	oss:PutObjectTagging	以追加写的方式上传文件（Object）时，通过x-oss-tagging指定Object标签。
InitiateMultipartUpload	oss:PutObject	初始化分片上传任务。
	oss:PutObjectTagging	初始化分片上传任务时，通过x-oss-tagging指定Object标签。
	kms:GenerateDataKey kms:Decrypt	初始化分片上传任务时，指定Object的元数据包含X-Oss-Server-Side-Encryption: KMS。
UploadPart	oss:PutObject	根据指定的Object名和uploadId来分块（Part）上传数据。
CompleteMultipartUpload	oss:PutObject	在将所有数据Part都上传完成后，需调用此接口来完成整个Object的分片上传。
CompleteMultipartUpload	oss:PutObjectTagging	在将所有数据Part都上传完成后，需调用此接口来完成整个Object的分片上传，并指定Object的标签。
AbortMultipartUpload	oss:AbortMultipartUpload	取消MultipartUpload事件并删除对应的Part数据。
PutSymlink	oss:PutObject	为OSS的目标文件（TargetObject）创建软链接（Symlink）。
PutSymlink	oss:PutObjectTagging	为OSS的目标文件（TargetObject）创建指定Object标签的软链接（Symlink）。
GetObject	oss:GetObject	获取某个Object。
	kms:Decrypt	下载指定KMS的Object。
	oss:GetObjectVersion	下载指定版本Object。
HeadObject	oss:GetObject	获取某个Object的元数据。
GetObjectMeta	oss:GetObject	获取Object的元数据信息，包括该Object的ETag、Size、LastModified信息。
SelectObject	oss:GetObject	对目标文件执行SQL语句，返回执行结果。
GetSymlink	oss:GetObject	获取目标文件的软链接。
DeleteObject	oss:DeleteObject	删除某个Object。
DeleteObject	oss:DeleteObjectVersion	删除指定版本Object。
DeleteMultipleObjects	oss:DeleteObject	删除同一个Bucket中的多个Object。
CopyObject	oss:GetObject oss:PutObject	拷贝同一地域下相同或不同Bucket之间的Object。
	oss:GetObjectVersion	拷贝同一地域下相同或不同Bucket之间指定版本的Object。
	oss:GetObjectTagging oss:PutObjectTagging	拷贝同一地域下相同或不同Bucket之间指定标签的Object。
	kms:GenerateDataKey kms:Decrypt	拷贝Object时，指定目标Object的元数据包含X-Oss-Server-Side-Encryption: KMS。
	oss:GetObjectVersionTagging	拷贝同一地域下相同或不同Bucket之间指定标签版本的Object。
UploadPartCopy	oss:GetObject oss:PutObject	在UploadPart请求的基础上增加一个请求头x-oss-copy-source来调用UploadPartCopy接口，实现从一个已存在的Object中拷贝数据来上传一个Part。
UploadPartCopy	oss:GetObjectVersion	在UploadPart请求的基础上增加一个请求头x-oss-copy-source来调用UploadPartCopy接口，实现从一个已存在的Object中指定Object版本拷贝数据来上传一个Part。
ListParts	oss:ListParts	列举指定Upload ID所属的所有已经上传成功的Part。
PutObjectACL	oss:PutObjectAcl	修改Bucket下某个Object的ACL。
PutObjectACL	oss:PutObjectVersionAcl	修改Bucket下指定版本Object的ACL。
GetObjectACL	oss:GetObjectAcl	获取Bucket下某个Object的ACL。
GetObjectACL	oss:GetObjectVersionAcl	获取Bucket下指定版本Object的ACL。
RestoreObject	oss:RestoreObject	解冻归档存储、冷归档存储或者深度冷归档存储类型的Object。
RestoreObject	oss:RestoreObjectVersion	解冻指定版本的归档存储、冷归档存储或者深度冷归档存储类型的Object。
PutObjectTagging	oss:PutObjectTagging	设置或更新Object的标签（Tagging）信息。
PutObjectTagging	oss:PutObjectVersionTagging	设置或更新指定版本Object的标签（Tagging）信息。
GetObjectTagging	oss:GetObjectTagging	获取Object的标签信息。
GetObjectTagging	oss:GetObjectVersionTagging	获取指定版本Object的标签信息。
DeleteObjectTagging	oss:DeleteObjectTagging	删除指定Object的标签信息。
DeleteObjectTagging	oss:DeleteObjectVersionTagging	删除指定版本Object的标签信息。
PutLiveChannel	oss:PutLiveChannel	通过RTMP协议上传音视频数据前，必须先调用该接口创建一个LiveChannel。
ListLiveChannel	oss:ListLiveChannel	列举指定的LiveChannel。
DeleteLiveChannel	oss:DeleteLiveChannel	删除指定的LiveChannel。
PutLiveChannelStatus	oss:PutLiveChannelStatus	在启用（enabled）和禁用（disabled）两种状态之间进行切换。
GetLiveChannelInfo	oss:GetLiveChannel	获取指定LiveChannel的配置信息。
GetLiveChannelStat	oss:GetLiveChannelStat	获取指定LiveChannel的推流状态信息。
GetLiveChannelHistory	oss:GetLiveChannelHistory	获取指定LiveChannel的推流记录。
PostVodPlaylist	oss:PostVodPlaylist	为指定的LiveChannel生成一个点播用的播放列表。
GetVodPlaylist	oss:GetVodPlaylist	查看指定LiveChannel在指定时间段内推流生成的播放列表。
无	oss:PublishRtmpStream	将音频和视频数据流推送到RTMP。
无	oss:ProcessImm	通过OSS使用IMM进行数据处理的权限。
PostProcessTask	oss:GetObject	通过POST请求使用IMM进行数据处理的权限。
PostProcessTask	oss:PutObject	使用IMM进行Saveas数据处理的权限。
ImgSaveAs	oss:PostProcessTask	保存处理后的图片至指定Bucket。
CreateOfficeConversionTask	imm:CreateOfficeConversionTask	使用IMM进行文档转换或快照的权限。
GenerateWebofficeToken	imm: GenerateWebofficeToken	用于获取Weboffice凭证。
RefreshWebofficeToken	imm:RefreshWebofficeToken	用于刷新Weboffice凭证。
无	oss:ReplicateGet	复制过程涉及的读权限。即允许OSS读取源Bucket和目标Bucket中的数据与元数据，包括Object、Part、Multipart Upload等。
无	oss:ReplicatePut	复制过程涉及的写权限。即允许OSS对目标Bucket复制相关的写入类操作，包括写入Object、Multipart Upload、Part和Symlink，修改元数据信息等。
无	oss:ReplicateDelete	复制过程涉及的删除权限。即允许OSS对目标Bucket复制相关的删除操作，包括DeleteObject、AbortMultipartUpload、DeleteMarker等。说明仅当数据复制方式选择增/删/改/同步时，需要授予RAM角色该Action。

资源池QoS

API	Action	接口描述
PutBucketQoSInfo	oss:PutBucketQoSInfo	为资源池内的Bucket设置流控。
GetBucketQoSInfo	oss:GetBucketQoSInfo	获取资源池内某个Bucket的流控配置。
DeleteBucketQosInfo	oss:DeleteBucketQoSInfo	删除资源池内指定Bucket的流控配置。
PutBucketRequesterQoSInfo	oss:PutBucketRequesterQoSInfo	设置请求者在Bucket级别的流控。
GetBucketRequesterQoSInfo	oss:GetBucketRequesterQoSInfo	获取指定请求者在Bucket级别的流控配置。
ListBucketRequesterQoSInfos	oss:ListBucketRequesterQoSInfo	获取所有请求者在Bucket级别的流控配置。
DeleteBucketRequesterQoSInfo	oss:DeleteBucketRequesterQoSInfo	删除Bucket的某个请求者流控配置。
ListResourcePools	oss:ListResourcePools	获取当前账号下的所有资源池信息。
GetResourcePoolInfo	oss:GetResourcePoolInfo	获取指定资源池流控配置。
ListResourcePoolBuckets	oss:ListResourcePoolBuckets	获取指定资源池包含的Bucket列表。
PutResourcePoolRequesterQoSInfo	oss:PutResourcePoolRequesterQoSInfo	为资源池的请求者配置流控。
GetResourcePoolRequesterQoSInfo	oss:GetResourcePoolRequesterQoSInfo	获取指定请求者在资源池的流控配置。
ListResourcePoolRequesterQoSInfos	oss:ListResourcePoolRequesterQoSInfos	获取所有请求者在资源池的流控配置。
DeleteResourcePoolRequesterQoSInfo	oss:DeleteResourcePoolRequesterQoSInfo	删除指定请求者在资源池的流控配置。

向量Bucket

API	Action	接口描述
PutVectorBucket	oss:PutVectorBucket	创建向量Bucket。
GetVectorBucket	oss:GetVectorBucket	获取向量Bucket的详细信息。
ListVectorBuckets	oss:ListVectorBuckets	列举请求者拥有的所有向量Bucket。
DeleteVectorBucket	oss:DeleteVectorBucket	删除向量Bucket。
PutBucketLogging	oss:PutBucketLogging	开启向量Bucket日志转存功能。
PutBucketLogging	oss:PutObject	开启源向量Bucket日志转存功能时，设置源向量Bucket日志写入另一个目标Bucket。
GetBucketLogging	oss:GetBucketLogging	查看向量Bucket日志转存配置。
DeleteBucketLogging	oss:DeleteBucketLogging	关闭向量Bucket日志转存功能。
PutBucketPolicy	oss:PutBucketPolicy	设置指定向量Bucket的授权策略。
GetBucketPolicy	oss:GetBucketPolicy	获取指定向量Bucket的授权策略。
DeleteBucketPolicy	oss:DeleteBucketPolicy	删除指定向量Bucket的授权策略。
PutVectorIndex	oss:PutVectorIndex	创建向量索引。
GetVectorIndex	oss:GetVectorIndex	获取向量索引的详细信息。
ListVectorIndexes	oss:ListVectorIndexes	列举向量Bucket中的所有向量索引。
DeleteVectorIndex	oss:DeleteVectorIndex	删除向量索引。
PutVectors	oss:PutVectors	写入向量数据。
GetVectors	oss:GetVectors	获取指定的向量数据。
ListVectors	oss:ListVectors	列举向量索引中的所有向量数据。
QueryVectors	oss:QueryVectors	进行向量相似性检索。
DeleteVectors	oss:DeleteVectors	删除向量索引中的指定向量数据。

Resource

Resource指代某个具体资源或者某些资源，支持通配符星号（*）。单个Bucket Policy允许包含多个Resource。

Bucket

分类	格式	示例
Bucket级别	`acs:oss:{region}:{bucket_owner_id}:{bucket_name}`	`acs:oss:::example-bucket`
Object级别	`acs:oss:{region}:{bucket_owner_id}:{bucket_name}/{object_name}`	`acs:oss:::example-bucket/abc.txt`
资源池级别	`acs:oss:{region}:{account_id}:resourcepool/{resource_pool_name}`	`acs:oss:::resourcepool/resource-pool-for-ai`

说明

region字段当前仅支持设置为通配符星号（*）。

向量Bucket

资源级别	格式	示例
所有向量资源	`acs:ossvector:::` `acs:ossvector:::/*`	`acs:ossvector:::` `acs:ossvector:::/*`
向量 Bucket	`acs:ossvector:{region}:{account_id}:{bucket_name}`	`acs:ossvector:::my-vector-bucket`
向量索引	`acs:ossvector:{region}:{account_id}:{bucket_name}/{index_name}`	`acs:ossvector:::my-vector-bucket/my-index`

Condition

Condition用于指定授权生效的限制条件，由条件操作类型、条件关键字和条件值组成。

条件操作类型

条件操作类型	支持类型
字符串类型（String）	StringEquals StringNotEquals StringEqualsIgnoreCase StringNotEqualsIgnoreCase StringLike StringNotLike
数字类型（Number）	NumericEquals NumericNotEquals NumericLessThan NumericLessThanEquals NumericGreaterThan NumericGreaterThanEquals
日期类型（Date and time）	DateEquals DateNotEquals DateLessThan DateLessThanEquals DateGreaterThan DateGreaterThanEquals
布尔类型（Boolean）	Bool
IP地址类型（IP address）	IpAddress NotIpAddress IpAddressIncludeBorder

条件关键字

条件关键字	说明
acs:SourceIp	指定普通IP网段，支持通配符星号（`*`）。重要配置Bucket Policy时，如果配置了`acs:SourceIp`，必须同时配置`acs:SourceVpc`。配置其他Policy时，请结合自身的网络接入架构进行配置。建议同时配置`acs:SourceIp`和`acs:SourceVpc`条件，实现双重访问控制。单一条件可能存在安全盲区，例如仅限制公网IP时，VPC可通过公网私用方式以匹配的出口IP访问，造成越权。
acs:SourceVpc	指定VPC，支持配置为指定的VPC ID以及`vpc-*`。说明通过`acs:SourceVpc`限制VPC来源时，确保选择的VPC地域与OSS支持的网关终端节点区域相匹配，否则会导致鉴权请求无法关联至对应的VPC，进而引发鉴权失败。关于OSS支持的网关终端节点地域，请参见OSS支持的网关终端节点地域。
acs:UserAgent	指定HTTP User-Agent头。类型：字符串。
acs:CurrentTime	请求到达OSS服务端的时间。格式：ISO8601。
acs:SecureTransport	请求的协议类型。取值范围如下： `true`：仅允许HTTPS请求访问。 `false`：仅允许HTTP请求访问。如果未设置`acs:SecureTransport`，表示HTTP或者HTTPS请求均可以访问。
oss:x-oss-acl	限制Bucket ACL的类型。取值如下： `private`：私有。 `public-read`：公共读。 `public-read-write`：公共读写。更多信息，请参见Bucket ACL。
oss:x-oss-object-acl	限制Object ACL的类型。取值如下： `private`：私有。 `public-read`：公共读。 `public-read-write`：公共读写。 `default`：继承Bucket ACL。更多信息，请参见Object ACL。
oss:Prefix	用于ListObjects请求时，列举指定前缀的Object。
oss:Delimiter	用于ListObjects请求时，对Object名字进行分组的字符。
acs:AccessId	请求中携带的AccessId。
oss:BucketTag	存储空间标签（BucketTag）。单个BucketTag可以作为一个Condition。当设置多个BucketTag时，需在每个BucketTag前加上`oss:BucketTag/`，组成多个Condition。
acs:MFAPresent	是否启用了多因素认证MFA（Multi-factor authentication）。取值： `true`：已启用多因素认证。 `false`：未启用多因素认证。
oss:ExistingObjectTag	请求的Object已存在标签。单个ObjectTag可以作为一个Condition。多个ObjectTag时，需在每个ObjectTag前加上`oss:ExistingObjectTag/`。主要针对`GetObject`、`HeadObject`等读取文件接口以及`PutObjectTagging`、`GetObjectTagging`等ObjectTagging接口。
oss:RequestObjectTag	请求中携带的对象标签。单个ObjectTag可以作为一个Condition。多个ObjectTag时，需在每个ObjectTag前加上`oss:RequestObjectTag/`。主要针对`PutObject`、`PostObject`等写入文件接口以及`PutObjectTagging`、`GetObjectTagging`等ObjectTagging接口。
oss:object-remaining-retention-days	Object保留策略的剩余保留天数。可通过`NumericLessThanEquals`或`NumericGreaterThan`等数值条件操作符限制用户可设置的保留时长上限。例如，通过Deny策略配合`NumericGreaterThan`可以限制用户最多只能设置指定天数的保留策略。适用于`oss:PutObjectRetention`操作。

对象存储 OSS：授权语法与元素

授权语法

语法结构

字段说明

Statement元素

Action

Service级别

Bucket级别

Object级别

资源池QoS

向量Bucket

Resource

Bucket

向量Bucket

Condition

条件操作类型

条件关键字

相关文档