单区域接入点不仅为存储桶提供一个独立的访问域名，还支持为每个接入点配置权限策略。在为接入点委派权限后，用户通过该接入点访问 TOS 资源时，仅支持执行接入点策略中明确授权的操作。本文介绍创建单区域接入点、创建接入点策略、为接入点委派权限等内容的操作步骤。 ## 注意事项 * 每个接入点仅支持绑定一个存储桶，绑定后，不支持更改。 * 每个账号在每个地域最多支持创建 100 个接入点。 * 单区域接入点当前仅支持 FNS 桶，暂不支持 HNS 桶。详细介绍，请参见[存储桶类型](/docs/6349/1282866)。 * 每个主账号接入点策略的 JSON 描述总大小不能超过 20 KB。 ## 场景说明在 A 公司旗下有 10 个部门需要协同使用统一的数据湖进行数据训练、模型推理等工作，尽管这些部门访问的是同一个存储桶中的数据，但是所需访问的数据和目录不同。例如： * 部门 1～3 需要对 databucket/raw 下的文件进行读取和写入。 * 部门 4～6 需要对 databucket/processed 下的文件进行读取，无需写入。 * 部门 7～10 需要对 databucket/features 下的文件进行读取和写入。针对以上场景，该公司可通过存储桶所属主账号 (210015\*\*\*\*)分别为部门 1～3、部门 4～6、部门 7～10 创建接入点、接入点策略，并为接入点委派权限。权限委派成功后，这些部门可通过不同的接入点访问对应数据。 ## 创建接入点 1. 登录[对象存储控制台](https://console.volcengine.com/tos)。 2. 在左侧导航栏，选择**接入点 \> 单区域接入点**。 3. 在**单区域接入点**页面，单击**创建单区域接入点**。 4. 在**创建单区域接入点**页面，配置如下参数。 |**参数** |**说明** |**示例值** | |---|---|---| |接入点名称 |输入接入点名称，命名规则如下：|* 部门 1～3：ap1|\ | ||* 部门 4～6：ap2|\ | |* 只能包含小写字母 a\-z、大写字母 A\-Z、中划线（\-）、数字。|* 部门 7～10：ap3 |\ | |* 长度限制在 3～50 个字符。| |\ | |* 不能以中划线（\-）开头或结尾，且不能以 `-tosalias` 结尾。| |\ | || |\ | |:::tip| |\ | |接入点名称在每个账号的每个地域内全局唯一。| |\ | || |\ | |:::| | |存储桶 |选择待绑定的存储桶，只能选择一个存储桶。 |* 部门 1～3：databucket|\ | | |* 部门 4～6：databucket|\ | | |* 部门 7～10：databucket | |网络来源 |选择接入点的网络来源，说明如下：|* 部门 1～3：互联网|\ | ||* 部门 4～6：互联网|\ | |* **互联网**：通过接入点访问 TOS 内资源时，允许来自外网和内网的请求。|* 部门 7～10：互联网 |\ | |* **VPC**：通过接入点访问 TOS 内资源时，仅允许来自指定 VPC 的请求。选择该选项后，还需要选择 VPC 名称。 | | 5. 完成配置后，单击**确定**。单区域接入点创建成功后，您可以单击单区域接入点的名称，在**概览**页签下，查看单区域接入点的 TRN、别名、外网 Endpoint 等信息。 ## 创建接入点策略接入点策略支持通过可视化视图或 JSON 视图的方式进行创建，您可以根据实际需求和使用习惯灵活选择。 ### 使用可视化视图创建接入点策略 1. 登录[对象存储控制台](https://console.volcengine.com/tos)。 2. 在左侧导航栏，选择**接入点 \> 单区域接入点**。 3. 在**单区域接入点**页面，单击目标单区域接入点的名称。 4. 在单区域接入点详情页面，单击**权限**页签。 5. 在**可视化视图**页签下，单击**创建策略**。 6. 在**选择模版**配置向导中，选择策略模版，单击**下一步。** 本场景下，部门 1～3、部门 7～10 选择**文件夹读写**模版，部门 4～6 选择**文件夹只读**模版。 :::tip 接入点策略模版和桶策略模版的资源范围、动作相同，您可以参考桶策略模版文档选择接入点策略模版，详细介绍，请参见[桶策略模板](/docs/6349/102127#127974e6)。 ::: 7. 在**配置策略**配置向导中，配置参数，单击**下一步**。 |**参数** |**说明** |**示例值** | |---|---|---| |策略配置方式 |选择**可视化视图**。 |可视化视图 | |策略名称 |设置接入点策略的名称。 |* 部门 1～3：文件夹读写\-fb8e|\ | | |* 部门 4～6：文件夹只读\-b6ec|\ | | |* 部门 7～10：文件夹读写\-yu3i | |效力 |选择策略的作用效果。|允许 |\ | || |\ | |* **允许**：即 Allow，说明该策略创建的权限为接受请求。| |\ | |* **拒绝**：即 Deny，说明该策略创建的权限为拒绝请求。 | | |授权用户 |* **指定账号**：仅指定账号具有对应策略的权限，说明如下：|选择**当前主账号**，单击**添加一行**，选择子用户名称。各部门使用的子用户名称如下：|\ | | * **当前主账号**：用于为当前主账号下的 IAM 用户（子用户）授权。无需输入主账号 ID，单击**添加一行**，您可以在**子用户名称**的下拉框中选择子用户名称。||\ | | * **其他主账户**：用于为其他主账号、其他主账号的 IAM 用户（子用户）授权。需要输入其他主账号 ID 和其他主账号的子用户名称。|* 部门 1～3：ai\-dev|\ | |* **所有用户**：用户（包含匿名用户）可以不通过身份认证即可执行当前接入点策略。如果您的**效力**为**允许**，可能导致数据存储安全风险，建议您谨慎选择。 |* 部门 4～6：data\-dev|\ | | |* 部门 7～10：model\-dev | |用户策略 |设置用户授权方式，仅**效力**为**拒绝**时，才能设置**用户策略**参数。当**效力**为**拒绝**时，参数含义如下：|无 |\ | || |\ | |* **包含以上用户**：拒绝指定的用户拥有某些权限。| |\ | |* **排除以上用户**：除了指定用户外，拒绝其他用户拥有某些权限。| |\ | || |\ | |:::tip| |\ | |排除以上用户功能仅用于拒绝用户的权限，本身不会授权。如果您想指定用户拥有某些权限，您还需要创建对应的权限策略。详细介绍，请参见[使用 NotPrincipal 实现除了指定用户以外，拒绝其他用户访问](/docs/6349/1167732#%E4%BD%BF%E7%94%A8-notprincipal-%E5%AE%9E%E7%8E%B0%E9%99%A4%E4%BA%86%E6%8C%87%E5%AE%9A%E7%94%A8%E6%88%B7%E4%BB%A5%E5%A4%96%EF%BC%8C%E6%8B%92%E7%BB%9D%E5%85%B6%E4%BB%96%E7%94%A8%E6%88%B7%E8%AE%BF%E9%97%AE)。| |\ | || |\ | |:::| | |资源范围 |* **当前单区域接入点**：表示策略的范围为单区域接入点下的存储桶，您可以在**动作中**配置桶相关动作。|选中**当前单区域接入点**和**桶内对象**，单击**指定对象**，输入资源路径。各部门所需访问的资源路径如下：|\ | |* **桶内对象**：表示策略的范围为桶内对象，您可以在**动作中**配置对象相关动作。||\ | | * **所有对象**：表示策略的范围为桶内所有对象。|* 部门 1～3： raw/\*|\ | | * **指定对象**：选择**指定对象**后，单击**添加字段**图标，可以设置指定对象字段。 |* 部门 4～6：processed/\*|\ | | |* 部门 7～10：features/\* | |资源策略 |设置资源授权方式。仅**效力**为**拒绝**时，才能设置**资源策略**参数。当**效力**为**拒绝**时，参数含义如下：|无 |\ | || |\ | |* **包含以上资源**：拒绝用户拥有指定资源的权限。| |\ | |* **排除以上策略**：除了指定资源外，拒绝用户拥有其余资源的权限。| |\ | || |\ | |:::tip| |\ | |排除以上资源功能仅用于拒绝用户拥有某些资源权限，本身不会授权。如果您想用户拥有指定资源的权限，您还需要创建对应的权限策略。详细介绍，请参见[使用 NotResource 实现除了指定资源以外，拒绝用户访问其余资源](/docs/6349/1167732#%E4%BD%BF%E7%94%A8-notresource-%E5%AE%9E%E7%8E%B0%E9%99%A4%E4%BA%86%E6%8C%87%E5%AE%9A%E8%B5%84%E6%BA%90%E4%BB%A5%E5%A4%96%EF%BC%8C%E6%8B%92%E7%BB%9D%E8%AE%BF%E9%97%AE%E5%85%B6%E4%BB%96%E8%B5%84%E6%BA%90)。| |\ | || |\ | |:::| | |动作 |选择需要授权的动作，详细说明，请参见[支持动作](/docs/6349/102127#3817a80f)。 |使用模版默认选中的动作。 | |操作策略 |设置动作授权方式，不同的策略效果，含义不同。|包含以上动作 |\ | || |\ | |* 当**效力**为**拒绝**时，操作策略的含义如下：| |\ | | * **包含以上动作**：拒绝用户拥有执行指定动作的权限。| |\ | | * **排除以上动作**：除了指定动作外，拒绝用户拥有执行其余动作的权限。| |\ | | :::tip| |\ | | 排除以上动作功能仅用于拒绝用户拥有执行某些动作的权限，本身不会授权。如果您想用户拥有执行指定动作的权限，您还需要创建对应的权限策略。| |\ | | :::| |\ | |* 当**效力**为**允许**时，操作策略的含义如下：| |\ | | * **包含以上动作**：允许用户拥有执行指定动作的权限。| |\ | | * **排除以上动作**：除了指定的动作外，允许用户拥有执行其余动作的权限。详细案例介绍，请参见[ 使用 NotAction 授予用户除指定动作外其余动作的执行权限](https://www.volcengine.com/docs/6349/1167732#b1f8880f)。 | | |条件 |单击**添加一行**图标，设置您所需要的条件及值。关于条件的参数说明，请参见[条件说明](/docs/6349/102127#eaa7b0fa)。 |无 | 8. 在**确认策略**配置向导中，单击**确定**。 ### 使用 JSON 视图创建接入点策略 1. 登录[对象存储控制台](https://console.volcengine.com/tos)。 2. 在左侧导航栏，选择**接入点 \> 单区域接入点**。 3. 在**单区域接入点**页面，单击目标单区域接入点的名称。 4. 在单区域接入点详情页面，单击**权限**页签。 5. 单击 **JSON视图**页签。 6. 单击**编辑，** 设置接入点策略内容。除了 `Resource` 和 `NotResource` 参数，接入点策略的其他参数含义和桶策略相同，详细介绍，请参见[桶策略参数说明](/docs/6349/102127#3ab0f186)。 |**参数** |**说明** | |---|---| |Resource |指定接入点策略作用的资源范围，设置规则说明如下：|\ | ||\ | |* 对接入点策略下的存储桶执行相应操作时，您需要设置 `Resource` 为`接入点 TRN`。例如 `"Resource": "trn:tos:cn-beijing:214748****:accesspoint/bbb"`。|\ | |* 对接入点策略下的桶中对象执行相应操作时，您需要设置 `Resource` 为 `<接入点 TRN>/object/<桶内资源路径>`。例如对 test/ 执行相应操作，则`Resource`需要配置为`"trn:tos:cn-beijing:214748****:accesspoint/bbb/object/test/*"`。|\ | ||\ | |:::tip|\ | |在**单区域接入点**页面，单击单区域接入点名称，在**概览**页签下，可以获取接入点 TRN。|\ | ||\ | |:::| |NotResource |该参数必须和"Effect":"Deny" 一起使用。搭配"Effect":"Deny"使用后，除了 NotResource 指定的资源以外，将拒绝用户访问其他资源。设置规则说明如下：|\ | ||\ | |* 对接入点策略下的存储桶执行相应操作时，您需要设置 `Resource` 为`接入点 TRN`。例如 `"Resource": "trn:tos:cn-beijing:214748****:accesspoint/bbb"`。|\ | |* 对接入点策略下的桶中对象执行相应操作时，您需要设置 `Resource` 为 `<接入点 TRN>/object/<桶内资源路径>`。例如对 test/ 执行相应操作，则`Resource`需要配置为`"trn:tos:cn-beijing:214748****:accesspoint/bbb/object/test/*"`。 | 示例策略如下： ```mixin-react return (