Python授权访问

1. 登录RAM控制台。

2. 在左侧导航栏，选择身份管理>用户。

3. 单击创建用户。

4. 输入登录名称和显示名称。

5. 在访问方式区域下，选择OpenAPI调用访问，然后单击确定。

6. 根据界面提示，完成安全验证。

7. 复制访问密钥（AccessKey ID和AccessKey Secret）。

   重要

   RAM用户的AccessKey Secret只在创建时显示，后续不支持查看，请妥善保管。

1. 单击已创建RAM用户右侧对应的添加权限。

2. 在新增授权页面，选择AliyunSTSAssumeRoleAccess系统策略。

   说明

   授予RAM用户调用STS服务AssumeRole接口的固定权限是AliyunSTSAssumeRoleAccess，与后续获取临时访问凭证以及通过临时访问凭证发起OSS请求所需权限无关。

   

3. 单击确认新增授权。

1. 在左侧导航栏，选择身份管理>角色。

2. 单击创建角色，选择可信实体类型为阿里云账号，单击下一步。

3. 在创建角色对话框，角色名称填写为RamOssTest，选择信任的云账号为当前云账号。

4. 单击完成。角色创建完成后，单击关闭。

5. 在角色页面，搜索框输入角色名称RamOssTest，然后单击RamOssTest。

6. 单击ARN右侧的复制，保存角色的ARN。

1. 为角色授予上传文件和下载文件的自定义权限策略。

   1. 在左侧导航栏，选择权限管理>权限策略。

   2. 在权限策略页面，单击创建权限策略。

   3. 在创建权限策略页面，单击脚本编辑，然后在策略文档输入框中赋予角色向目标存储空间examplebucket执行简单上传（oss:PutObject）和下载文件（oss:GetObject）的权限。具体配置示例如下。

      警告

      以下示例仅供参考。您需要根据实际需求配置更细粒度的授权策略，防止出现权限过大的风险。关于更细粒度的授权策略配置详情，请参见通过RAM或STS服务向其他用户授权。

      {
          "Version": "1",
          "Statement": [
           {
                 "Effect": "Allow",
                 "Action": [
                   "oss:PutObject",
                   "oss:GetObject"
                 ],
                 "Resource": [
                   "acs:oss:*:*:examplebucket",
                   "acs:oss:*:*:examplebucket/*"
                 ]
           }
          ]
      }

   4. 策略配置完成后，单击继续编辑基本信息。

   5. 在基本信息区域，填写策略名称为RamTestPolicy，然后单击确定。

2. 为RAM角色RamOssTest授予自定义权限策略。

   1. 在左侧导航栏，选择身份管理 > 角色。

   2. 在角色页面，找到目标RAM角色RamOssTest。

   3. 单击RAM角色RamOssTest右侧的新增授权。

   4. 在添加权限页面下的自定义策略页签，选择已创建的自定义权限策略RamTestPolicy。

   5. 单击确定。

临时访问凭证包括临时访问密钥（AccessKey ID和AccessKey Secret）和安全令牌（SecurityToken）。临时访问凭证有效时间单位为秒，最小值为900，最大值以当前角色设定的最大会话时间为准。更多信息，请参见设置RAM角色最大会话时间。

关于STS应用的完整示例代码，请参见GitHub。

# -*- coding: utf-8 -*-

from aliyunsdkcore import client
from aliyunsdkcore.request import CommonRequest
import json
import oss2

# 填写步骤1创建的RAM用户AccessKey。
access_key_id = 'yourAccessKeyId'
access_key_secret = 'yourAccessKeySecret'
# role_Arn填写步骤3获取的角色ARN，例如acs:ram::175708322470****:role/ramtest。
role_arn = 'acs:ram::175708322470****:role/ramtest'

# 创建权限策略。
# 仅允许对examplebucket执行上传（PutObject）和下载（GetObject）操作。
policy_text = '{"Version": "1", "Statement": [{"Action": ["oss:PutObject","oss:GetObject"], "Effect": "Allow", "Resource": ["acs:oss:*:*:examplebucket/*"]}]}'

clt = client.AcsClient(access_key_id, access_key_secret, 'cn-hangzhou')
request = CommonRequest(product="Sts", version='2015-04-01', action_name='AssumeRole')
request.set_method('POST')
request.set_protocol_type('https')
request.add_query_param('RoleArn', role_arn)
# 指定自定义角色会话名称，用来区分不同的令牌，例如填写为sessiontest。
request.add_query_param('RoleSessionName', 'sessiontest')
# 指定临时访问凭证有效时间单位为秒，最小值为900，最大值为3600。
request.add_query_param('DurationSeconds', '3000')
# 如果policy为空，则RAM用户默认获得该角色下所有权限。如果有特殊权限控制要求，请参考上述policy_text设置。
request.add_query_param('Policy', policy_text)
request.set_accept_format('JSON')

body = clt.do_action_with_exception(request)

# 使用RAM用户的AccessKey ID和AccessKey Secret向STS申请临时访问凭证。
token = json.loads(oss2.to_unicode(body))
# 打印STS返回的临时访问密钥（AccessKey ID和AccessKey Secret）、安全令牌（SecurityToken）以及临时访问凭证过期时间（Expiration）。
print('AccessKeyId: ' + token['Credentials']['AccessKeyId'])
print('AccessKeySecret: ' + token['Credentials']['AccessKeySecret'])
print('SecurityToken: ' + token['Credentials']['SecurityToken'])
print('Expiration: ' + token['Credentials']['Expiration'])

• 使用临时访问凭证上传文件

  # -*- coding: utf-8 -*-
  import oss2
  
  # yourEndpoint填写Bucket所在地域对应的Endpoint。以华东1（杭州）为例，Endpoint填写为https://oss-cn-hangzhou.aliyuncs.com。
  endpoint = 'https://oss-cn-hangzhou.aliyuncs.com'
  # 从STS服务获取的临时访问密钥（AccessKey ID和AccessKey Secret）。
  sts_access_key_id = 'yourAccessKeyId'
  sts_access_key_secret = 'yourAccessKeySecret'
  # 填写Bucket名称。
  bucket_name = 'examplebucket'
  # 填写Object完整路径和字符串。Object完整路径中不能包含Bucket名称。
  object_name = 'exampleobject.txt'
  # 从STS服务获取的安全令牌（SecurityToken）。
  security_token = 'yourSecurityToken'
  
  
  # 使用临时访问凭证中的认证信息初始化StsAuth实例。
  auth = oss2.StsAuth(sts_access_key_id,
                      sts_access_key_secret,
                      security_token)
  
  # 使用StsAuth实例初始化存储空间。
  bucket = oss2.Bucket(auth, endpoint, bucket_name)
  
  # 上传Object。
  result = bucket.put_object(object_name, "hello world")
  print(result.status)

• 使用临时访问凭证下载文件

  # -*- coding: utf-8 -*-
  import oss2
  
  # yourEndpoint填写Bucket所在地域对应的Endpoint。以华东1（杭州）为例，Endpoint填写为https://oss-cn-hangzhou.aliyuncs.com。
  endpoint = 'https://oss-cn-hangzhou.aliyuncs.com'
  # 从STS服务获取的临时访问密钥（AccessKey ID和AccessKey Secret）。
  sts_access_key_id = 'yourAccessKeyId'
  sts_access_key_secret = 'yourAccessKeySecret'
  # 填写Bucket名称，例如examplebucket。
  bucket_name = 'examplebucket'
  # 填写Object完整路径和字符串。Object完整路径中不能包含Bucket名称。
  object_name = 'exampleobject.txt'
  # 从STS服务获取的安全令牌（SecurityToken）。
  security_token = 'yourSecurityToken'
  
  # 使用临时访问凭证中的认证信息初始化StsAuth实例。
  auth = oss2.StsAuth(sts_access_key_id,
                      sts_access_key_secret,
                      security_token)
  
  # 使用StsAuth实例初始化存储空间。
  bucket = oss2.Bucket(auth, endpoint, bucket_name)
  
  # 下载Object。
  read_obj = bucket.get_object(object_name)
  print(read_obj.read())