阻止公共访问

工作原理

阻止公共访问通过多层级访问限制机制保护数据安全。开启后，OSS会忽略Bucket Policy和ACL中的公共访问权限配置，同时阻止创建新的公共访问权限；关闭后，已有权限恢复生效，并允许创建新的公共访问权限。

OSS支持在以下四个维度开启阻止公共访问，当不同维度的设置不一致时，遵循以下优先级：

OSS全局 ＞ 单个Bucket > 单个接入点 > 单个对象FC接入点

上层开启阻止公共访问后，下层无论如何设置都不允许公共访问：

• 如果希望单个Bucket允许公共访问，需关闭OSS全局和该Bucket的阻止公共访问。

• 如果希望单个接入点允许公共访问，需关闭OSS全局、接入点关联的Bucket和该接入点的阻止公共访问。

• 如果希望单个对象FC接入点允许公共访问，需关闭OSS全局、对象FC接入点关联的接入点、接入点关联的Bucket和该对象FC接入点的阻止公共访问。

开启方式

ossutil api put-public-access-block --public-access-block-configuration "{\"BlockPublicAccess\":\"true\"}"

ossutil api put-bucket-public-access-block --bucket example-bucket --public-access-block-configuration "{\"BlockPublicAccess\":\"true\"}"

ossutil api put-access-point-public-access-block --bucket example-bucket --access-point-name example-ap --public-access-block-configuration "{\"BlockPublicAccess\":\"true\"}"

判断是否包含公共访问语义

需要结合Bucket Policy和ACL（包括Bucket ACL和Object ACL）判断OSS资源是否包含公共访问的语义。如果存在任意一种包含公共访问的语义，资源可能存在安全风险，建议开启阻止公共访问功能。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:GetObject"
      ],
      "Principal": [
        "20214760404935xxxx"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:examplebucket/*"
      ]
    }
  ]
}

配额与限制

• RAM用户设置阻止公共访问需要以下权限：

  阻止公共访问维度	所需权限
  OSS全局	oss:PutPublicAccessBlock、oss:GetPublicAccessBlock、oss:DeletePublicAccessBlock
  Bucket	oss:PutBucketPublicAccessBlock、oss:GetBucketPublicAccessBlock、oss:DeleteBucketPublicAccessBlock
  接入点	oss:PutAccessPointPublicAccessBlock、oss:GetAccessPointPublicAccessBlock、oss:DeleteAccessPointPublicAccessBlock
  对象FC接入点	oss:PutAccessPointConfigForObjectProcess、oss:GetAccessPointConfigForObjectProcess、oss:DeleteAccessPointForObjectProcess

• 如果在Bucket Policy中设置了允许任何人操作接入点的管控API，即使该接入点开启了阻止公共访问，用户仍然可以通过Bucket三级域名修改该接入点的阻止公共访问，原因是通过Bucket三级域名访问的请求不受接入点的配置影响。

• 对于跨区域或者同区域复制，无论源Bucket和目标Bucket是否开启阻止公共访问，均不影响复制前后的Object ACL。如果目标Bucket开启了阻止公共访问，则复制到目标Bucket中ACL为公共读或者公共读写的Object，仍不允许公共访问。

API说明

如果程序自定义要求较高，可以直接发起REST API请求。直接发起REST API请求需要手动编写代码计算签名。

变更影响与迁移指引

将 Bucket ACL 从公共读（public-read）改为私有（private）并开启阻止公共访问后，已有的匿名访问权限会被忽略，依赖匿名 URL 访问 Object 的业务将中断，请求返回403 Forbidden：

AccessDenied
You have no right to access this object because of bucket acl.

替代匿名访问的方案对比如下：

• 签名 URL：适用于临时授权场景，需在生成时指定有效期，有效期内持有签名 URL 的任何人均可访问。

• Bucket Policy：适用于长期授权特定来源、IP 或 Referer 的场景，可精细控制允许访问的主体，无需为每次访问单独生成链接。

迁移建议：先在测试 Bucket 中验证签名 URL 或 Bucket Policy 可正常访问，再选择业务非高峰期变更 Bucket ACL 并开启阻止公共访问，确认业务无影响后，在生产环境执行相同操作。

常见问题

相关文档

阻止公共访问用于管控OSS全局、Bucket、接入点及对象FC接入点的权限。

• 如果需要细粒度地管控Bucket内的部分资源或单个Object的权限，请结合使用Bucket Policy和Object ACL。

• 在多账号场景下，如需强制统一开启阻止公共访问功能，请使用Control Policy进行集中管控。

监控告警配置

阻止公共访问状态变更属于管控类操作，不会记录在实时访问日志中，需要通过操作审计事件跟踪或 API 轮询两种方式监控状态变更并配置告警。