oss上传视频显示“上传失败，无权限”

GET /?prefix=&delimiter=/ HTTP/1.1
Host: example-company.oss-cn-hangzhou.aliyuncs.com
Date: Fri, 24 Feb 2012 08:43:27 GMT
Authorization: OSS qn6qrrqxo2oawuk53otfjbyc:DNrnx7xHk3sgysx7I8U9I9IY1vY=

HTTP/1.1 200 OK
x-oss-request-id: 534B371674E88A4D8906008B
Date: Fri, 24 Feb 2012 08:43:27 GMT
Content-Type: application/xml
Content-Length: 712
Connection: keep-alive
Server: AliyunOSS
<?xml version="1.0" encoding="UTF-8"?><ListBucketResult xmlns=¡±http://doc.oss-cn-hangzhou.aliyuncs.com¡±><Name>example-company</Name><Prefix></Prefix><Marker></Marker><MaxKeys>100</MaxKeys><Delimiter>/</Delimiter>
    <IsTruncated>false</IsTruncated>
    <Contents>
        <Key>oss-dg.pdf</Key>
        ...
    </Contents>
   <CommonPrefixes>
        <Prefix>Development</Prefix>
   </CommonPrefixes>
      <CommonPrefixes>
        <Prefix>Marketing</Prefix>
   </CommonPrefixes>
      <CommonPrefixes>
        <Prefix>Private</Prefix>
   </CommonPrefixes></ListBucketResult>

GET /?prefix=Development/&delimiter=/ HTTP/1.1
Host: oss-example.oss-cn-hangzhou.aliyuncs.com
Date: Fri, 24 Feb 2012 08:43:27 GMT
Authorization: OSS qn6qrrqxo2oawuk53otfjbyc:DNrnx7xHk3sgysx7I8U9I9IY1vY=

HTTP/1.1 200 OK
x-oss-request-id: 534B371674E88A4D8906008B
Date: Fri, 24 Feb 2012 08:43:27 GMT
Content-Type: application/xml
Content-Length: 712
Connection: keep-alive
Server: AliyunOSS
<?xml version="1.0" encoding="UTF-8"?><ListBucketResult xmlns=¡±http://doc.oss-cn-hangzhou.aliyuncs.com¡±><Name>example-company</Name><Prefix>Development/</Prefix><Marker></Marker><MaxKeys>100</MaxKeys><Delimiter>/</Delimiter>
    <IsTruncated>false</IsTruncated>
    <Contents>
        <Key>ProjectA.docx</Key>
        ...
    </Contents>
    <Contents>
        <Key>ProjectB.docx</Key>
        ...
    </Contents></ListBucketResult>

1. 使用主账号登录 RAM 控制台。
2. 在左侧导航栏中，单击 概览。
3. 在 RAM用户登录链接 后找到URL。您将向RAM用户提供此URL，以便其使用RAM用户名和密码登录控制台。

在此步骤中，创建一个授予用户最低权限的策略。凭借最低权限，用户可列出主账号所拥有的所有存储空间。您还将此策略分配给 Staff 组，以便授予获得主账号拥有的存储空间列表的组权限。

1. 使用主账号登录 RAM 控制台。
2. 创建策略   AllowGroupToSeeBucketListInConsole。

   1. 在左侧导航窗格中，单击 策略管理，然后单击 新建授权策略。
   2. 单击 空白模板。
   3. 在 授权策略名称 字段中，输入 AllowGroupToSeeBucketListInConsole。
   4. 在 策略内容 字段中，复制并粘贴以下策略。

      {
      "Version": "1",
      "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "oss:ListBuckets"
         ],
         "Resource": [
           "acs:oss:*:*:*"
         ]
       }
      ]
      }

      说明  策略为 JSON 文档。在该策略中，Statement 是一个对象数组，每个对象使用名/值对的集合来描述权限。前面的策略描述了一个特定的权限。Effect 元素值决定是允许还是拒绝特定的权限。Action 指定访问权限的类型。在本策略中，oss:ListBuckets 是预定义的 OSS 操作，可返回经过身份验证的发送者所拥有的所有储存空间的列表。
3. 将   AllowGroupToSeeBucketListInConsole  策略分配给 Staff 组。

   
   

   有关分配策略的详细过程，请参见 RAM 快速入门 中将策略分配给 RAM 用户的将策略分配给 RAM 组。

   
   

   可以将策略分配给 RAM 控制台中的 RAM 用户和组。在本例中，我们将策略分配给组，因为我们希望 Anne 和 Leo 都能够列出这些存储空间。

4. 测试权限。

   1. 打开 RAM 用户登录链接，并用 Anne 或 Leo 的账号登录到 RAM 控制台。
   2. 打开 OSS 控制台。

      
      

      控制台列出所有存储空间。

   3. 单击 example-company 存储空间，然后单击 文件选项卡。

      
      

      此时将显示一个消息框，表明您没有相应的访问权限。

      
      
      

在此步骤中，您授予权限，允许所有用户列出存储空间 example-company 中的所有项目。当用户在 OSS 控制台中单击 example-company 时，能够看到存储空间中的根级别项。

1. 使用主账号登录 RAM 控制台。
2. 用以下策略取代分配给 Staff 组的现有策略 AllowGroupToSeeBucketListInConsole，该策略还允许 oss:ListObjects 操作。请用您的存储空间名替换策略资源中的 example-company。

   
   

   有关详细过程，请参见 RAM 用户指南中授权策略的修改自定义授权策略部分。注意，您最多可对 RAM 策略进行五次修改。如果超过了五次，则需要删除该策略并创建一个新的策略，然后再次将新策略分配给 Staff 组。

   {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "oss:ListBuckets",
            "oss:GetBucketAcl"
          ],
          "Resource": [
            "acs:oss:*:*:*"
          ],
          "Condition": {}
        },
        {
          "Effect": "Allow",
          "Action": [
            "oss:ListObjects"
          ],
          "Resource": [
            "acs:oss:*:*:example-company"
          ],
          "Condition": {
            "StringLike": {
              "oss:Prefix": [
                ""
              ],
              "oss:Delimiter": [
                "/"
              ]
            }
          }
        }
      ]
    }

   说明

   • 要列出存储空间内容，用户需要调用 oss:ListObjects 操作的权限。为了确保用户仅看到根级内容，我们添加了一个条件：用户必须在请求中指定一个空前缀，也就是说，他们不能单击任何根级文件夹。我们还通过要求用户请求包含分隔符参数和值   /  来添加需要文件夹样式访问的条件。
   • 当用户登录到 OSS 控制台时，控制台检查用户的身份是否有访问 OSS 服务的权限。要在控制台中支持存储空间操作，我们还需要添加 oss:GetBucketAcl 操作。
3. 测试更新的权限。

   1. 打开 RAM 用户登录链接，并用 Anne 或 Leo 的账号登录到 RAM 控制台。
   2. 打开 OSS 控制台。

      
      

      控制台列出所有存储空间。

   3. 单击 example-company 存储空间，然后单击 文件选项卡。

      
      

      控制台列出所有根级别项。

      
      
      
   4. 单击任何文件夹或对象 oss-dg.pdf。

      
      

      此时将显示一个消息框，表明您没有相应的访问权限。

添加组策略的最终结果是授予 RAM 用户 Anne 和 Leo 以下最低权限：

• 列出主账号所拥有的所有存储空间。
• 查看 example-company 存储空间中的根级别项。

然而，他们可以进行的操作仍然有限。在以下部分中，我们将授予用户以下特定权限：

• 允许 Anne 在 Development 文件夹中获取和放入对象。
• 允许 Bob 在 Finance 文件夹中获取和放入对象。

对于用户特定的权限，您需要将策略分配给特定用户，而非分配给组。以下部分授予 Anne 在 Development 文件夹中操作的权限。您可以重复这些步骤，授予 Leo 在 Finance 文件夹中进行类似操作的权限。

若要 Anne 能够列出 Development 文件夹内容，您必须为其分配策略。该策略必须能够授予其对 example-company 存储空间执行 oss:ListObjects 操作的权限，还必须包括要求用户在请求中指定前缀 Development/ 的条件。

1. 使用主账号登录 RAM 控制台。
2. 创建策略 AllowListBucketsIfSpecificPrefixIsIncluded，授予 RAM 用户 Anne 权限以列出 Development 文件夹内容。

   1. 在左侧导航窗格中，单击 策略管理，然后单击 新建授权策略。
   2. 单击 空白模板。
   3. 在 授权策略名称字段中，输入 AllowListBucketsIfSpecificPrefixIsIncluded。
   4. 在 策略内容 字段中，复制并粘贴以下策略。

      {
      "Version": "1",
      "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "oss:ListObjects"
         ],
         "Resource": [
           "acs:oss:*:*:example-company"
         ],
         "Condition": {
           "StringLike": {
             "oss:Prefix": [
               "Development/*"
             ]
           }
         }
       }
      ]
      }

3. 将策略分配给 RAM 用户 Anne。

   
   

   有关分配策略的详细过程，请参见 RAM 快速入门中的将策略分配给 RAM 用户

4. 测试 Anne 的权限。

   1. 打开 RAM 用户登录链接，并用 Anne 的账号登录到 RAM 控制台。
   2. 打开 OSS 控制台，控制台列出所有存储空间。
   3. 单击 example-company 存储空间，然后单击 文件选项卡，控制台列出所有根级别项。
   4. 单击 Development/ 文件夹。控制台列出文件夹中的对象。

若要 Anne 能够在 Development 文件夹中获取和放入对象，您必须授予她调用 oss:GetObject 和 oss:PutObject 操作的权限，包括用户必须在请求中指定前缀 Development/ 的条件。

1. 使用主账号登录   RAM 控制台。
2. 用以下策略取代您在之前步骤中创建的策略 AllowListBucketsIfSpecificPrefixIsIncluded。

   
   

   有关详细过程，请参见 RAM 用户指南中授权策略的修改自定义授权策略部分。注意，您最多可对 RAM 策略进行五次修改。如果超过了五次，则需要删除该策略并创建一个新的策略，然后再次将新策略分配给 Staff 组。

   {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "oss:ListObjects"
          ],
          "Resource": [
            "acs:oss:*:*:example-company"
          ],
          "Condition": {
            "StringLike": {
              "oss:Prefix": [
                "Development/*"
              ]
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "oss:GetObject",
            "oss:PutObject",
            "oss:GetObjectAcl"
          ],
          "Resource": [
            "acs:oss:*:*:example-company/Development/*"
          ],
          "Condition": {}
        }
      ]
    }

   说明  当用户登录到 OSS 控制台时，控制台检查用户的身份是否有访问 OSS 服务的权限。要在控制台中支持存储空间操作，我们还需要添加 oss:GetObjectAcl 操作。
3. 测试更新的策略。

   1. 打开 RAM 用户登录链接，并用 Anne 的账号登录到 RAM 控制台。
   2. 打开 OSS 控制台。

      
      

      控制台列出所有存储空间。

   3. 在 OSS 控制台中，确认 Anne 现在可以在 Development 文件夹中添加对象并下载对象。

RAM 用户 Anne 现在可以在 example-company 存储空间中列出根级内容，并将对象放入 Development 文件夹中。如果要严格限制访问权限，您可以显式拒绝 Anne 对存储空间中任何其他文件夹的访问。如果有授予 Anne 访问存储空间中任何其他文件夹的其他策略，则此显式策略将替代这些权限。

{
      "Effect": "Deny",
      "Action": [
        "oss:ListObjects"
      ],
      "Resource": [
        "acs:oss:*:*:example-company"
      ],
      "Condition": {
        "StringNotLike": {
          "oss:Prefix": [
            "Development/*",
            ""
          ]
        }
      }
    }

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:ListObjects"
      ],
      "Resource": [
        "acs:oss:*:*:example-company"
      ],
      "Condition": {
        "StringLike": {
          "oss:Prefix": [
            "Development/*"
          ]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "oss:GetObject",
        "oss:PutObject",
        "oss:GetObjectAcl"
      ],
      "Resource": [
        "acs:oss:*:*:example-company/Development/*"
      ],
      "Condition": {}
    },
    {
      "Effect": "Deny",
      "Action": [
        "oss:ListObjects"
      ],
      "Resource": [
        "acs:oss:*:*:example-company"
      ],
      "Condition": {
        "StringNotLike": {
          "oss:Prefix": [
            "Development/*",
            ""
          ]
        }
      }
    }
  ]
}