Object Storage Service:STSが提供する一時的なアクセス資格情報を使用してOSSにアクセスする

前提条件

バケット作成についての 詳細は、「バケットの作成」をご参照ください。

ステップ1: RAMユーザーの作成

1. RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、アイデンティティ > [ユーザー] を選択します。

3. [ユーザー] ページで、ユーザーの作成 をクリックします。

4. ログイン名 および [表示名] パラメーターを設定します。

5. アクセスモード セクションで、[永続的なAccessKeyを使用してアクセスする] を選択します。 そして、[OK] をクリックします。

6. プロンプトに従って完全なセキュリティ検証。

7. AccessKeyペア (AccessKey IDとAccessKey secret) をコピーします。

   重要

   RAMユーザーのAccessKeyシークレットは、RAMユーザーを作成する場合にのみ取得できます。 認証情報の漏洩を防ぐため、AccessKeyシークレットを安全に保持する必要があります。

手順2: AssumeRole操作を呼び出す権限をRAMユーザーに付与する

RAMユーザーを作成したら、STSのAssumeRole操作を呼び出す権限をRAMユーザーに付与します。

1. [ユーザー] ページで、作成したRAMユーザーを見つけ、[操作] 列の 権限の追加 をクリックします。

2. [権限付与] パネルの [ポリシー] セクションで、[AliyunSTSAssumeRoleAccess] ポリシーを選択します。

   説明

   AliyunSTSAssumeRoleAccessポリシーを使用すると、RAMユーザーはAssumeRole操作を呼び出すことができます。 ポリシーの権限は、RAMユーザーがSTSから一時的なアクセス資格情報を取得してOSSへのリクエストを開始するために必要な権限とは無関係です。

   

3. [権限付与] をクリックします。

ステップ3: RAMロールの作成

RAMロールを作成して、RAMロールが引き受けられたときにRAMロールの権限を宣言します。

1. 左側のナビゲーションウィンドウで、アイデンティティ > [ロール] を選択します。

2. ロールの作成 をクリックします。 [ロールの作成] ウィザードの [ロールタイプの選択] ステップで、[信頼できるエンティティの選択] を Alibaba Cloud アカウント に設定し、[次へ] をクリックします。

3. ロールの作成 ウィザードの [ロールの設定] ステップで、RAM ロール名 をRamOssTestに設定し、信頼できる Alibaba Cloud アカウントを選択 を 現在の Alibaba Cloud アカウント に設定します。

4. [OK] をクリックします。 ロールの作成後、[閉じる] をクリックします。

5. [ロール] ページで、検索ボックスに [RamOssTest] と入力し、検索アイコンをクリックし、検索結果で [RamOssTest] をクリックします。

6. RamOssTestページの右側にある [コピー] をクリックして、ロールのAlibaba Cloudリソース名 (ARN) を保存します。

手順4: OSSにオブジェクトをアップロードする権限をRAMロールに付与する

1つ以上のポリシーをRAMロールにアタッチして、RAMロールが引き受けられたときにOSSリソースに対する操作を実行する権限をRAMロールに付与します。 たとえば、RAMユーザーがこのRAMロールを引き受け、特定のOSSバケットにのみオブジェクトをアップロードする場合は、RAMロールに書き込み権限を付与するポリシーをアタッチする必要があります。

1. オブジェクトをアップロードする権限をロールに付与するカスタムポリシーを作成します。

   1. 左側のナビゲーションウィンドウで、権限管理 > ポリシー を選択します。

   2. ポリシー ページで ポリシーの作成 をクリックします。

   3. ポリシーの作成 ページで、[JSON] をクリックします。 コードエディターに次のスクリプトを入力して、RAMロールにexamplebucketバケットにオブジェクトをアップロードする権限を付与します。

      警告

      以下の例は参考情報です。 ユーザーに過度の権限を付与しないように、要件に基づいてきめ細かいRAMポリシーを構成する必要があります。 きめ細かいRAMポリシーを設定する方法の詳細については、「例9: RAMまたはSTSを使用してユーザーにOSSリソースへのアクセスを許可する」をご参照ください。

      {
          "Version": "1",
          "Statement": [
           {
                 "Effect": "Allow",
                 "Action": [
                   "oss:PutObject"
                 ],
                 "Resource": [
                   "acs:oss:*:*:examplebucket/*"             
                 ]
           }
          ]
      }

      説明

      Action要素は、RAMロールに付与する権限を指定します。 たとえば、oss:PutObjectを指定した場合、RAMロールを引き受けるRAMユーザーは、簡易アップロード、フォームアップロード、追加アップロード、マルチパートアップロード、再開可能アップロードなどのさまざまなアップロード方法を使用して、指定したバケットにオブジェクトをアップロードできます。 詳細については、「OSSのRAMポリシーのアクション要素」をご参照ください。

   4. [次へ] をクリックしてポリシー情報を編集します。

   5. [基本情報] セクションで、[名前] を [RamTestPolicy] に設定し、[OK] をクリックします。

2. カスタムポリシーをRamOssTestロールにアタッチします。

   1. 左側のナビゲーションペインで、[ID] > [ロール] を選択します。

   2. [ロール] ページで、[RamOssTest] ロールを見つけます。

   3. [操作] の [権限付与] をクリックします。

   4. [権限付与] パネルで、[ポリシー] セクションのドロップダウンリストから [カスタムポリシー] を選択し、[RamTestPolicy] ポリシーを選択します。

   5. [権限付与] をクリックします。

手順5: RAMユーザーを使用してRAMロールを引き受け、一時的なアクセス資格情報を取得する

オブジェクトをOSSにアップロードする権限をRAMロールに付与すると、RAMユーザーはRAMロールを引き受けて一時的なアクセス資格情報を取得します。 一時的なアクセス資格情報には、セキュリティトークン (SecurityToken) 、一時的なAccessKeyペア (AccessKey IDとAccessKey secret) 、および有効期間 (Expiration) が含まれます。

ステップ6: 一時的なアクセス資格情報を使用してオブジェクトをOSSにアップロードする

一時的なアクセス資格情報の有効期間 (Expiration) が終了する前に、一時的なアクセス資格情報を使用してローカルファイルをOSSにアップロードします。

次のサンプルコードは、OSS SDK for Java 3.12.0を使用して、exampletest.txtファイルをローカルパスD :\\ localpathからexamplebucketバケットにアップロードする方法の例を示しています。 他のプログラミング言語のOSS SDKを使用して一時的なアクセス資格情報を使用してデータをアップロードする方法の詳細については、「概要」をご参照ください。

import com.aliyun.oss.OSS;
import com.aliyun.oss.OSSClientBuilder;
import com.aliyun.oss.OSSException;
import com.aliyun.oss.model.PutObjectRequest;
import com.aliyuncs.exceptions.ClientException;

import java.io.File;

public class Demo {
    public static void main(String[] args) throws ClientException {
// Specify the endpoint of the region in which the bucket is located. For example, if the bucket is located in the China (Hangzhou) region, set the endpoint to https://oss-cn-hangzhou.aliyuncs.com. Specify your actual endpoint. 
 String endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
// Obtain the temporary AccessKey pair generated in Step 5 from environment variables. 
String accessKeyId = System.getenv("OSS_ACCESS_KEY_ID");
String accessKeySecret = System.getenv("OSS_ACCESS_KEY_SECRET");
// Obtain the security token generated in Step 5 from environment variables. 
String securityToken = System.getenv("OSS_SESSION_TOKEN");

// Create an OSSClient instance. 
OSS ossClient = new OSSClientBuilder().build(endpoint, accessKeyId, accessKeySecret, securityToken);
// Upload a local file named exampletest.txt to examplebucket. 
PutObjectRequest putObjectRequest = new PutObjectRequest("examplebucket", "exampletest.txt", new File("D:\\localpath\\exampletest.txt"));

// ObjectMetadata metadata = new ObjectMetadata();
// Specify the storage class of the uploaded object. 
// metadata.setHeader(OSSHeaders.OSS_STORAGE_CLASS, StorageClass.Standard.toString());
// Specify the access control list (ACL) of the uploaded object. 
// metadata.setObjectAcl(CannedAccessControlList.Private);
// putObjectRequest.setMetadata(metadata);

try {
     // Upload the local file. 
     ossClient.putObject(putObjectRequest);
    } catch (OSSException oe) {
        System.out.println("Caught an OSSException, which means your request made it to OSS, "
                + "but was rejected with an error response for some reason.");
        System.out.println("Error Message:" + oe.getErrorMessage());
        System.out.println("Error Code:" + oe.getErrorCode());
        System.out.println("Request ID:" + oe.getRequestId());
        System.out.println("Host ID:" + oe.getHostId());
    } finally {
        if (ossClient != null) {
            ossClient.shutdown();
        }
    }
}
}

よくある質問

関連ドキュメント

• 一時的なアクセス資格情報を使用して、クライアントから直接OSSにデータをアップロードし、ファイルサイズ、ファイルタイプ、宛先ディレクトリなどのアップロード条件を指定できます。 詳細については、「直接クライアントのアップロード」をご参照ください。

• 署名付きURLを使用して、一時的なアクセス資格情報を使用してアップロードされたオブジェクトを共有できます。 詳細については、「オブジェクトとオブジェクトURLの共有」をご参照ください。