对象存储 COS 策略生成工具

一、功能概述

针对不同策略类型，在填入指定参数后，可以一键生成结构化的JSON策略语法，便于后端处理。目前支持三种策略类型的 JSON，分别是用户策略、存储桶策略、STS策略。

关于各策略类型的概述和相关信息，请参见 用户策略（CAM策略）、存储桶策略（Bucket Policy）、使用临时密钥访问COS。

二、注意事项

·本策略生成工具不识别和提示你填写的错误参数。若你生成的 JSON 格式策略需要实际生效，请务必按照你的业务需求进行准确填写。

·本策略生成工具将识别你填写的不合法参数，并进行相应的提示。但仍可能生成一个无法实际生效的策略。

·本策略生成工具将识别及提示你尚未填写的必填参数项，且如果你未完成必填参数项的填写，你将无法生成 JSON 格式的策略。

三、工具地址

1. 你可以单击 COS策略生成工具 直接进入该页面。

2. 通过 对象存储控制台 访问该页面，详情可参考 操作步骤。

四、适用场景

COS 策略生成工具适用于以下情况：

·熟悉用户策略、存储桶策略、STS 策略，但不熟悉 JSON 语法的用户。

·需要通过 API 或 SDK 添加用户策略、存储桶策略、STS 策略的用户。

·需要批量添加用户策略、存储桶策略、STS 策略的用户。

五、用户策略（CAM策略）

用户可以在 CAM 中，对于主账号名下的不同类型用户，授予不同的权限。这些权限通过访问策略语言描述，并以用户为出发点进行授权，因此被称为用户策略。更多内容可参考 用户策略 文档。

注意：说明：

当你关心用户能做什么，推荐用户策略时，可通过查找 CAM 用户，并检查其所属用户组的权限来了解用户能做什么。推荐场景有：

·要配置对象存储（Cloud Object Storage，COS）服务级权限时，例如创建桶（PutBucket）、列举桶（GetService）。

·需要使用主账号下所有 COS 桶和对象。

·要对主账号下的大量 CAM 用户授予相同权限。

六、存储桶策略（Bucket Policy）

存储桶策略作用于配置的存储桶和存储桶内对象，你可以通过存储桶策略为 CAM 子账号、其他主账号、甚至匿名用户授权存储桶及存储桶内对象的操作权限。更多内容可参考 存储桶策略 文档。

当你关心谁能访问这个 COS 桶时，推荐使用存储桶策略。可通过查找存储桶，并检查存储桶策略来了解谁能访问。推荐场景有：

·针对某个存储桶进行授权。

·相比 ACL，存储桶策略更加灵活。

·相比用户策略，存储桶策略支持跨账号授权及匿名用户授权。

七、STS策略

STS 策略与临时密钥相关。临时密钥是由 安全凭证服务（Security Token Service,STS） 提供的临时访问凭证，在申请临时密钥过程中，可以通过设置 Policy 参数（即STS策略），限制操作和资源，为临时密钥增加临时策略约束使用者的权限。更多内容可参考 使用临时密钥访问COS 、临时密钥生成及使用指引和 用于前端直传 COS 的临时密钥安全指引文档。

注意：申请临时密钥之前，你必须拥有访问管理（Cloud Access Management，CAM）用户（腾讯云主账号或子账号）。

临时密钥的推荐场景有：

·授权第三方临时访问COS。例如，用户开发了客户端 App，将数据存储在 COS 存储桶上，此时将永久密钥直接存放在APP客户端不安全，但又需要授予客户端上传、下载权限。

·前端数据直传等临时授权。可参考Web 端直传实践、小程序直传实践、移动应用直传实践、Flutter 直传实践、uni-app 直传实践使用临时密钥。

八、操作步骤

1. 登录 对象存储控制台。

2. 在左侧导航栏中，单击常用工具 > 策略生成工具。

3. 在 策略生成工具 页面，根据所选的策略类型，按以下说明选择填写各项参数。

CAM策略存储桶策略STS策略

1. 在当前页面，选择策略类型为 CAM策略 。

2. 参数字段说明如下，关于配置项的更多说明请参见 访问管理授权指南 、访问管理策略语法结构 和 访问策略语言概述。

1. 在当前页面，选择策略类型为 存储桶策略 。

2. 参数字段说明如下，关于配置项的更多说明请参见 添加存储桶策略 和 访问策略语言概述。

1. 在当前页面，选择策略类型为 STS策略 。

2. 参数字段说明如下，关于配置项的更多说明请参见 获取联合身份临时访问凭证 和 访问策略语言概述。

4. 单击生成策略。

右侧的结果反馈中将展示JSON格式的策略。该工具支持多次生成策略，并且提供一键复制和一键清除的能力。