操作視頻

觀看以下視頻快速了解如何快速使用STS臨時(shí)訪問憑證訪問OSS。

前提條件

已創(chuàng)建Bucket。具體操作，請(qǐng)參見創(chuàng)建存儲(chǔ)空間。

步驟一：創(chuàng)建RAM用戶

1. 登錄RAM控制臺(tái)。

2. 在左側(cè)導(dǎo)航欄，選擇身份管理>用戶。

3. 單擊創(chuàng)建用戶。

4. 輸入登錄名稱和顯示名稱。

5. 在訪問方式區(qū)域下，選擇OpenAPI調(diào)用訪問，然后單擊確定。

6. 根據(jù)界面提示，完成安全驗(yàn)證。

7. 復(fù)制訪問密鑰（AccessKey ID和AccessKey Secret）。

   重要

   RAM用戶的AccessKey Secret只在創(chuàng)建時(shí)顯示，后續(xù)不支持查看，請(qǐng)妥善保管。

步驟二：為RAM用戶授予請(qǐng)求AssumeRole的權(quán)限

創(chuàng)建RAM用戶后，您需要授予RAM用戶通過扮演角色來調(diào)用STS服務(wù)的權(quán)限。

1. 單擊已創(chuàng)建RAM用戶右側(cè)對(duì)應(yīng)的添加權(quán)限。

2. 在新增授權(quán)頁面，選擇AliyunSTSAssumeRoleAccess系統(tǒng)策略。

   說明

   授予RAM用戶調(diào)用STS服務(wù)AssumeRole接口的固定權(quán)限是AliyunSTSAssumeRoleAccess，與后續(xù)獲取臨時(shí)訪問憑證以及通過臨時(shí)訪問憑證發(fā)起OSS請(qǐng)求所需權(quán)限無關(guān)。

   

3. 單擊確認(rèn)新增授權(quán)。

步驟三：創(chuàng)建RAM角色

您需要?jiǎng)?chuàng)建RAM角色，用于定義RAM角色被扮演時(shí)，可以獲得OSS服務(wù)的哪些訪問權(quán)限。

1. 在左側(cè)導(dǎo)航欄，選擇身份管理>角色。

2. 單擊創(chuàng)建角色，選擇可信實(shí)體類型為阿里云賬號(hào)，單擊下一步。

3. 在創(chuàng)建角色對(duì)話框，角色名稱填寫為RamOssTest，選擇信任的云賬號(hào)為當(dāng)前云賬號(hào)。

4. 單擊完成。角色創(chuàng)建完成后，單擊關(guān)閉。

5. 在角色頁面，搜索框輸入角色名稱RamOssTest，然后單擊RamOssTest。

6. 單擊ARN右側(cè)的復(fù)制，保存角色的ARN。

步驟四：為RAM角色授予上傳文件的權(quán)限

為RAM角色附加一個(gè)或多個(gè)權(quán)限策略，明確RAM角色在被扮演時(shí)所能擁有的OSS資源訪問權(quán)限。例如，如果希望RAM用戶在扮演該角色后只能向OSS指定Bucket上傳文件，則需要為角色添加寫入權(quán)限的策略。

1. 創(chuàng)建上傳文件的自定義權(quán)限策略。

   1. 在左側(cè)導(dǎo)航欄，選擇權(quán)限管理>權(quán)限策略。

   2. 在權(quán)限策略頁面，單擊創(chuàng)建權(quán)限策略。

   3. 在創(chuàng)建權(quán)限策略頁面，單擊腳本編輯，然后在策略文檔輸入框中賦予角色上傳文件到examplebucket的權(quán)限。具體配置示例如下。

      警告

      以下示例僅供參考。您需要根據(jù)實(shí)際需求配置更細(xì)粒度的授權(quán)策略，防止出現(xiàn)權(quán)限過大的風(fēng)險(xiǎn)。關(guān)于更細(xì)粒度的授權(quán)策略配置詳情，請(qǐng)參見通過RAM或STS服務(wù)向其他用戶授權(quán)。

      {
          "Version": "1",
          "Statement": [
           {
                 "Effect": "Allow",
                 "Action": [
                   "oss:PutObject"
                 ],
                 "Resource": [
                   "acs:oss:*:*:examplebucket/*"             
                 ]
           }
          ]
      }

      說明

      RAM角色所擁有的OSS權(quán)限取決于Action的配置，例如授予oss:PutObject權(quán)限，則RAM用戶在扮演RAM角色時(shí)可以對(duì)指定Bucket執(zhí)行簡(jiǎn)單上傳、表單上傳、追加上傳、分片上傳、斷點(diǎn)續(xù)傳上傳等操作。更多信息，請(qǐng)參見OSS Action說明。

   4. 策略配置完成后，單擊繼續(xù)編輯基本信息。

   5. 在基本信息區(qū)域，填寫策略名稱為RamTestPolicy，然后單擊確定。

2. 為RAM角色RamOssTest授予自定義權(quán)限策略。

   1. 在左側(cè)導(dǎo)航欄，選擇身份管理 > 角色。

   2. 在角色頁面，找到目標(biāo)RAM角色RamOssTest。

   3. 單擊RAM角色RamOssTest右側(cè)的新增授權(quán)。

   4. 在添加權(quán)限頁面下的自定義策略頁簽，選擇已創(chuàng)建的自定義權(quán)限策略RamTestPolicy。

   5. 單擊確定。

步驟五：使用RAM用戶扮演RAM角色獲取臨時(shí)訪問憑證

為角色授予上傳文件的權(quán)限后，RAM用戶需要通過扮演角色來獲取臨時(shí)訪問憑證。臨時(shí)訪問憑證包括安全令牌（SecurityToken）、臨時(shí)訪問密鑰（AccessKeyId和AccessKeySecret）以及過期時(shí)間（Expiration）。

步驟六：使用臨時(shí)訪問憑證上傳文件至OSS

在臨時(shí)訪問憑證有效期（Expiration）到期之前，使用臨時(shí)訪問憑證上傳文件至OSS。

本文以Java SDK 3.12.0版本為例，將本地D:\\localpath路徑下的exampletest.txt文件上傳至examplebucket的示例代碼如下。關(guān)于其他SDK使用臨時(shí)訪問憑證上傳文件到OSS的代碼示例，請(qǐng)參見簡(jiǎn)介。

import com.aliyun.oss.OSS;
import com.aliyun.oss.OSSClientBuilder;
import com.aliyun.oss.OSSException;
import com.aliyun.oss.model.PutObjectRequest;
import com.aliyuncs.exceptions.ClientException;

import java.io.File;

public class Demo {
    public static void main(String[] args) throws ClientException {
// OSS訪問域名。以華東1（杭州）地域?yàn)槔顚憺閔ttps://oss-cn-hangzhou.aliyuncs.com。其它Region請(qǐng)按實(shí)際情況填寫。
 String endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
// 從環(huán)境變量中獲取步驟5生成的臨時(shí)訪問密鑰AccessKey ID和AccessKey Secret，非阿里云賬號(hào)AccessKey ID和AccessKey Secret。
String accessKeyId = System.getenv("OSS_ACCESS_KEY_ID");
String accessKeySecret = System.getenv("OSS_ACCESS_KEY_SECRET");
// 從環(huán)境變量中獲取步驟5生成的安全令牌SecurityToken。
String securityToken = System.getenv("OSS_SESSION_TOKEN");

// 創(chuàng)建OSSClient實(shí)例。
OSS ossClient = new OSSClientBuilder().build(endpoint, accessKeyId, accessKeySecret, securityToken);
// 將本地文件exampletest.txt上傳至examplebucket。
PutObjectRequest putObjectRequest = new PutObjectRequest("examplebucket", "exampletest.txt", new File("D:\\localpath\\exampletest.txt"));

// ObjectMetadata metadata = new ObjectMetadata();
// 上傳文件時(shí)設(shè)置存儲(chǔ)類型。
// metadata.setHeader(OSSHeaders.OSS_STORAGE_CLASS, StorageClass.Standard.toString());
// 上傳文件時(shí)設(shè)置讀寫權(quán)限ACL。
// metadata.setObjectAcl(CannedAccessControlList.Private);
// putObjectRequest.setMetadata(metadata);

try {
     // 上傳文件。
     ossClient.putObject(putObjectRequest);
    } catch (OSSException oe) {
        System.out.println("Caught an OSSException, which means your request made it to OSS, "
                + "but was rejected with an error response for some reason.");
        System.out.println("Error Message:" + oe.getErrorMessage());
        System.out.println("Error Code:" + oe.getErrorCode());
        System.out.println("Request ID:" + oe.getRequestId());
        System.out.println("Host ID:" + oe.getHostId());
    } finally {
        if (ossClient != null) {
            ossClient.shutdown();
        }
    }
}
}

常見問題

相關(guān)文檔

• 如果您希望從服務(wù)端獲取STS臨時(shí)訪問憑證后，通過客戶端上傳文件，且上傳文件時(shí)需要限制上傳的文件大小、上傳的文件類型、上傳到Bucket的具體路徑等，請(qǐng)參見客戶端直傳。

• 通過STS臨時(shí)訪問憑證授權(quán)上傳文件到OSS后，您可以通過簽名URL的方式將文件分享給第三方用戶進(jìn)行預(yù)覽或者下載。具體操作，請(qǐng)參見使用文件URL分享文件。