使用STS临时访问凭证访问OSS

操作视频

观看以下视频快速了解如何快速使用STS临时访问凭证访问OSS。

前提条件

已创建Bucket。具体操作，请参见创建存储空间。

步骤一：创建RAM用户

1. 登录RAM控制台。

2. 在左侧导航栏，选择身份管理>用户。

3. 单击创建用户。

4. 输入登录名称和显示名称。

5. 在访问方式区域下，选择OpenAPI调用访问，然后单击确定。

6. 根据界面提示，完成安全验证。

7. 复制访问密钥（AccessKey ID和AccessKey Secret）。

   重要

   RAM用户的AccessKey Secret只在创建时显示，后续不支持查看，请妥善保管。

步骤二：为RAM用户授予请求AssumeRole的权限

创建RAM用户后，您需要授予RAM用户通过扮演角色来调用STS服务的权限。

1. 单击已创建RAM用户右侧对应的添加权限。

2. 在新增授权页面，选择AliyunSTSAssumeRoleAccess系统策略。

   说明

   授予RAM用户调用STS服务AssumeRole接口的固定权限是AliyunSTSAssumeRoleAccess，与后续获取临时访问凭证以及通过临时访问凭证发起OSS请求所需权限无关。

   

3. 单击确认新增授权。

步骤三：创建RAM角色

您需要创建RAM角色，用于定义RAM角色被扮演时，可以获得OSS服务的哪些访问权限。

1. 在左侧导航栏，选择身份管理>角色。

2. 单击创建角色，选择可信实体类型为阿里云账号，单击下一步。

3. 在创建角色对话框，角色名称填写为RamOssTest，选择信任的云账号为当前云账号。

4. 单击完成。角色创建完成后，单击关闭。

5. 在角色页面，搜索框输入角色名称RamOssTest，然后单击RamOssTest。

6. 单击ARN右侧的复制，保存角色的ARN。

步骤四：为RAM角色授予上传文件的权限

为RAM角色附加一个或多个权限策略，明确RAM角色在被扮演时所能拥有的OSS资源访问权限。例如，如果希望RAM用户在扮演该角色后只能向OSS指定Bucket上传文件，则需要为角色添加写入权限的策略。

1. 创建上传文件的自定义权限策略。

   1. 在左侧导航栏，选择权限管理>权限策略。

   2. 在权限策略页面，单击创建权限策略。

   3. 在创建权限策略页面，单击脚本编辑，然后在策略文档输入框中赋予角色上传文件到examplebucket的权限。具体配置示例如下。

      警告

      以下示例仅供参考。您需要根据实际需求配置更细粒度的授权策略，防止出现权限过大的风险。关于更细粒度的授权策略配置详情，请参见通过RAM或STS服务向其他用户授权。

      {
          "Version": "1",
          "Statement": [
           {
                 "Effect": "Allow",
                 "Action": [
                   "oss:PutObject"
                 ],
                 "Resource": [
                   "acs:oss:*:*:examplebucket/*"             
                 ]
           }
          ]
      }

      说明

      RAM角色所拥有的OSS权限取决于Action的配置，例如授予oss:PutObject权限，则RAM用户在扮演RAM角色时可以对指定Bucket执行简单上传、表单上传、追加上传、分片上传、断点续传上传等操作。更多信息，请参见OSS Action说明。

   4. 策略配置完成后，单击继续编辑基本信息。

   5. 在基本信息区域，填写策略名称为RamTestPolicy，然后单击确定。

2. 为RAM角色RamOssTest授予自定义权限策略。

   1. 在左侧导航栏，选择身份管理 > 角色。

   2. 在角色页面，找到目标RAM角色RamOssTest。

   3. 单击RAM角色RamOssTest右侧的新增授权。

   4. 在添加权限页面下的自定义策略页签，选择已创建的自定义权限策略RamTestPolicy。

   5. 单击确定。

步骤五：使用RAM用户扮演RAM角色获取临时访问凭证

为角色授予上传文件的权限后，RAM用户需要通过扮演角色来获取临时访问凭证。临时访问凭证包括安全令牌（SecurityToken）、临时访问密钥（AccessKeyId和AccessKeySecret）以及过期时间（Expiration）。

步骤六：使用临时访问凭证上传文件至OSS

在临时访问凭证有效期（Expiration）到期之前，使用临时访问凭证上传文件至OSS。

本文以Java SDK 3.12.0版本为例，将本地D:\\localpath路径下的exampletest.txt文件上传至examplebucket的示例代码如下。关于其他SDK使用临时访问凭证上传文件到OSS的代码示例，请参见简介。

import com.aliyun.oss.OSS;
import com.aliyun.oss.OSSClientBuilder;
import com.aliyun.oss.OSSException;
import com.aliyun.oss.model.PutObjectRequest;
import com.aliyuncs.exceptions.ClientException;

import java.io.File;

public class Demo {
    public static void main(String[] args) throws ClientException {
// OSS访问域名。以华东1（杭州）地域为例，填写为https://oss-cn-hangzhou.aliyuncs.com。其它Region请按实际情况填写。
 String endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
// 从环境变量中获取步骤5生成的临时访问密钥AccessKey ID和AccessKey Secret，非阿里云账号AccessKey ID和AccessKey Secret。
String accessKeyId = System.getenv("OSS_ACCESS_KEY_ID");
String accessKeySecret = System.getenv("OSS_ACCESS_KEY_SECRET");
// 从环境变量中获取步骤5生成的安全令牌SecurityToken。
String securityToken = System.getenv("OSS_SESSION_TOKEN");

// 创建OSSClient实例。
OSS ossClient = new OSSClientBuilder().build(endpoint, accessKeyId, accessKeySecret, securityToken);
// 将本地文件exampletest.txt上传至examplebucket。
PutObjectRequest putObjectRequest = new PutObjectRequest("examplebucket", "exampletest.txt", new File("D:\\localpath\\exampletest.txt"));

// ObjectMetadata metadata = new ObjectMetadata();
// 上传文件时设置存储类型。
// metadata.setHeader(OSSHeaders.OSS_STORAGE_CLASS, StorageClass.Standard.toString());
// 上传文件时设置读写权限ACL。
// metadata.setObjectAcl(CannedAccessControlList.Private);
// putObjectRequest.setMetadata(metadata);

try {
     // 上传文件。
     ossClient.putObject(putObjectRequest);
    } catch (OSSException oe) {
        System.out.println("Caught an OSSException, which means your request made it to OSS, "
                + "but was rejected with an error response for some reason.");
        System.out.println("Error Message:" + oe.getErrorMessage());
        System.out.println("Error Code:" + oe.getErrorCode());
        System.out.println("Request ID:" + oe.getRequestId());
        System.out.println("Host ID:" + oe.getHostId());
    } finally {
        if (ossClient != null) {
            ossClient.shutdown();
        }
    }
}
}

常见问题

相关文档

• 如果您希望从服务端获取STS临时访问凭证后，通过客户端上传文件，且上传文件时需要限制上传的文件大小、上传的文件类型、上传到Bucket的具体路径等，请参见客户端直传。

• 通过STS临时访问凭证授权上传文件到OSS后，您可以通过签名URL的方式将文件分享给第三方用户进行预览或者下载。具体操作，请参见使用文件URL分享文件。