飞猪 - 开放平台

背景信息

部门A将存储在example-bucket存储空间（Bucket）中的数据共享给部门B的用户，并允许部门B的用户下载数据。本文介绍如何以最小权限原则对共享数据进行权限控制。在本场景下两个部门的管理员、用户与共享存储空间之间的逻辑关系如下图所示：

在此场景下，A部门的管理员可以通过配置Bucket Policy，授予B部门用户允许下载，但禁止写入和删除共享数据的权限。具体配置流程如下：

企业账号已通过访问控制RAM创建A部门管理员用户及其普通用户、B部门管理员用户及其普通用户。
有关创建RAM用户的详情，请参见创建RAM用户。
已获取RAM用户UID。
有关查看RAM用户基本信息，例如UID等，详情请参见查看RAM用户基本信息。
已为RAM用户授权
在创建管理员用户时，A部门的管理员由于要执行创建Bucket、配置Bucket Policy等操作，因此需要管理员所属用户组具有AliyunOSSFullAccess权限。有关RAM用户授权详情，请参见为RAM用户授权。

A部门管理员创建Bucket的具体步骤如下：

使用A部门管理员账号登录OSS管理控制台。
单击Bucket列表，之后单击创建Bucket。
在创建Bucket页面配置Bucket参数。
结合本示例场景，请将Bucket命名为example-bucket。有关配置Bucket其他各项参数的详情，请参见创建存储空间。
单击确定。

部门A的管理员为本部门的用户配置允许上传共享数据的权限，具体步骤如下：

在新增授权页面，结合本示例场景配置各项参数说明如下：


配置项	说明
授权资源	选择整个Bucket，授权策略对整个Bucket生效。
授权用户	选择选择子账号。您可以从下拉菜单中选择部门A管理员账号下允许上传数据的用户账号。若部门A管理员下的用户账号较多时，您也可以直接在搜索框输入子账号名称，搜索支持模糊匹配。
授权操作	选择读/写。表示被授权用户可以对指定资源执行读取和写入操作。

部门A的管理员为部门B的用户配置允许下载共享数据的权限。具体步骤如下：

在新增授权页面，结合本示例场景配置各项参数说明如下：


配置项	说明
授权资源	选择整个Bucket，授权策略对整个Bucket生效。
授权用户	选择其他账号：输入被授权下载共享数据B用户的UID。
授权操作	选择只读。表示对共享资源example-bucket中的数据拥有查看、列举及下载权限，但无法对共享数据执行写入和删除操作。

A部门用户上传数据到example-bucket。具体步骤如下：

权限授予成功后，通过OSS控制台验证B部门用户对共享数据仅拥有下载权限、但无法对共享数据进行写入和删除操作。