十分钟从入门到精通(上)——OBS权限配置
2023-02-18 16:31:59 时间
【摘要】作为公有云的数据底座,大量的应用场景产生的数据都会存储到OBS对象存储服务中,如直播、电商、大数据可视化、机器学习、物联网等。作为公有云的海量存储基础服务, OBS提供了灵活的权限配置功能,解决如共享少部分数据或者数据全部托出等实际应用场景的数据管理诉求。
OBS目前有四种权限管理的方式供大家来选择,可以满足您对权限管理的需求。如果您需要设置更复杂的权限策略,控制子用户使用,通过阅读以下内容,四种方式配合使用效果更佳。
以下依次讲解四种方式的使用方式和特点:
-
统一身份认证服务(IAM)——设置用户组对桶的访问权限,适用于管理多部门人员对OBS资源的访问权限。
-
企业项目管理——用户只能列举到”自己”的桶。适用多企业项目,需要配合IAM权限。
-
高级桶策略——实时生效,简单粗暴。适用单个桶灵活设置权限,可以指定任何人用。
-
ACL——指定账户共享,范围小于高级桶策略,但是共享资源更精确。适用于对单个文件有共享读写需求的场景。
![](https://pic1.zhimg.com/v2-780b1e0ca48c8a9db89eb27b0d2f0c98_b.jpg)
统一身份认证服务
介绍:
IAM是一个总开关(相当于一个大超市,提供平台和规则的),各个服务(包括OBS)如果需要提供细粒度服务,就需要和IAM合作(按照IAM细粒度平台的规则),把自己的细粒度控制加入到IAM功能中(相当于超市中入住的品牌)。如果想详细的了解下IAM可参考https://support.huaweicloud.com/usermanual-obs/obs_03_0110.html
OBS系统权限:
![](https://pic3.zhimg.com/v2-230b7773b453a82dd2ed5cc632199546_b.jpg)
应用场景:如下为 OBS常用操作与系统权限的授权关系,您可以参照该表选择合适的系统权限。https://support.huaweicloud.com/productdesc-obs/obs_03_0045.html。
系统权限和系统角色已经满足大部分使用OBS的场景,但是仍有高端玩家想通过手术刀般精确的方式控制用户组和OBS桶\资源\操作\请求条件的权限,那么IAM权限配置的奥义,duang!的一声出现在您面前——自定义权限配置。
自定义权限配置:
- 可视化视图创建
- IAM的OBS细粒度权限配置时,可视化视图分为ReadOnly、ReadWrite、ListOnly、Permissions 四大类操作分类,需要仔细关注Action。
如下图所示。
![](https://pic3.zhimg.com/v2-2441955dec159bbf2b91a088cf5951a2_b.jpg)
特别注意!
这四大类的规则之间其实是没有继承性的,并且包含的相关Action项也并不完全。例如,客户如果只希望策略为允许“只读”,除了需要勾选 ReadOnly 之外,还需要 ListOnly 中的 obs:bucket:ListAllMyBuckets 和 obs:bucket:ListBucket 操作项。
-
没有obs:bucket:ListAllMyBuckets将无法列举所有桶——这对于通过Web页面访问OBS会产生致命影响,因为无法进入OBS控制台,但是对于API访问OBS服务没有影响。
-
没有obs:bucket:ListBucket 将无法列举桶内对象——这对于大数据业务中批量操作对象“列举目录”的操作是必须的。
再例如,如果客户希望策略为允许“读写”,则需要同时勾选 ReadOnly、ReadWrite、ListOnly 中的各目标项,而不是仅仅勾选一个 ReadWrite,如下图所示
![](https://pic2.zhimg.com/v2-9e7368b38d347a8400973e91f4d085e1_b.jpg)
JSON视图创建:
例OBS OperateAccess的json模式:
![](https://pic4.zhimg.com/v2-055e0b4ebe67787a274158ba90698e03_b.jpg)
自定义策略示例样例:
此策略表示用户可以对OBS进行任何操作。
{ "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "obs:*:*" ] } ] }
其他自定义策略样例详见:
自定义权限书写注意事项:
应用案例:
配置某一个子用户,通过IAM权限设置,只能从源ip:100.125.125.125访问桶:obs-test,并且只有只读权限(包括查询桶ACL,桶策略,桶cors的权限等)。
步骤1:xxxxx
![](https://pic1.zhimg.com/v2-b4453144d1138223b033ba0db8c16464_b.jpg)
步骤2:配置特定资源:
![](https://pic2.zhimg.com/v2-c05d82e8b33d4a59d306cd5d5254df61_b.jpg)
步骤3:配置特定条件,(可以根据例子写的更明确)
![](https://pic2.zhimg.com/v2-1d5d46f5fec292fc3ad65134eb6707dd_b.jpg)
建议采用最小权限原则,避免数据泄露,造成不必要的损失。
注意事项:
OBS细粒度特性白名单
当前要开通IAM的OBS细粒度权限控制特性,务必记得要申请将目标账号加入在目标Region的OBS细粒度特性白名单:
当前IAM细粒度这个超市还处于试用期,OBS这个品牌是一个全局品牌(对应于全局服务概念),但是每个OBS商品是不同地方的生产厂生产的,当前在IAM细粒度超市试用期,OBS商品入驻超市之后,并不是任何一个人都随意买,而是需要在白名单中的人才能买,并且这个白名单当前是按照Region来制作的,四川的客户只能买四川省生成的OBS产品,广东省客户只能买广东省生产的OBS商品,所以需要使用OBS细粒度的客户,必须要申请加入这个白名单(截止2020/2/4)。申请方式如下:
![](https://pic4.zhimg.com/v2-a938558b2deb46a601d7c7a808de1897_b.jpg)
由于缓存的存在,IAM权限设置生效延迟
![](https://pic2.zhimg.com/v2-53d03f089e021ae1e131c89f337fb119_b.jpg)
企业项目管理:
介绍:
可实现企业项目级别资源隔离,不同企业项目的用户只能列举自己的桶。创建企业项目迁入资源添加组配置权限策略
应用案例:
配置某一个子用户,通过多企业项目+IAM权限,实现单用户对某一个桶有所有权限:
-
在IAM控制台创建一个子账号,一个用户组,并把子账号加入到该组;
![](https://pic4.zhimg.com/v2-eab1a1bab5202224fb6546731f388eeb_b.jpg)
-
登录进企业项目管理,创建企业项目;
![](https://pic3.zhimg.com/v2-5efaeea9f04d9c2fbb43326eabb342f2_b.jpg)
-
迁入指定的桶资源;
![](https://pic2.zhimg.com/v2-01e9d6f0873b897b3b422f14e55f60dd_b.jpg)
-
添加组;
![](https://pic2.zhimg.com/v2-41c0401a6ca66ffa3a3a29727b90a995_b.jpg)
-
配置权限策略;
![](https://pic1.zhimg.com/v2-58d3281c6bd09ad397d7a8d3873deae8_b.jpg)
-
配置成功
![](https://pic3.zhimg.com/v2-9a2a5eed7868a02308709fbc538a618e_b.jpg)
注意:权限需要在企业项目管理侧配置,在IAM侧配置可能会导致不生效。
以上内容即为如何进行OBS权限配置的统一身份认证服务(IAM)和企业项目管理两种方式,再下一期我们将继续为大家带来高级桶策略和ACL应用的具体内容,敬请期待。
![](https://pic4.zhimg.com/v2-903a506f9c7ea66b1f6cf4c10ade884b_b.jpeg)
相关文章
- 精彩纷呈!亚信科技深度参与2022中国移动全球合作伙伴大会
- 面了一个31岁的哥们,一看就背了很多面试题,一问三不知,还自认为很牛逼...
- 【测试面试】2022年软件测试面试题大全(精品带回答的)
- 移动端H5实现上滑分页加载功能
- 从存储层面打造自主可控的信创链
- 自定义注解结合切面和spel表达式
- 让“物”能说会道,揭晓华为云IOT黑科技
- 这个应用魔方厉害了,让软件开发者效率提升10倍
- 华为云如何赋能无人车飞驰?从这群AI热血少年谈起
- 为什么说容器的崛起预示着云原生时代到来?
- 【API进阶之路】研发需求突增3倍,测试团队集体闹离职
- 小熊派开发实践丨漫谈LiteOS之传感器移植
- 谁说AI看不懂视频?
- 数据安全无小事:揭秘华为云GaussDB(openGauss)全密态数据库
- 数据湖探索DLI新功能:基于openLooKeng的交互式分析
- 趣味科普丨一文读懂云服务器的那些事儿
- 华为云瑶光:打通云边端界限,为企业云上业务带来最优解
- 解锁华为云AI如何助力无人车飞驰“新姿势”,大赛冠军有话说
- 原来AI也可以如此简单!教你从0到1开发开源知识问答机器人
- 技术实操丨HBase 2.X版本的元数据修复及一种数据迁移方式