.NET授權訪問 - Object Storage Service

本文介紹如何使用STS以及簽名URL臨時授權訪問OSS資源。

重要

由於STS臨時帳號以及簽名URL均需設定有效時間長度，當您使用STS臨時帳號產生簽名URL執行相關操作（例如上傳、下載檔案）時，以最小的有效時間長度為準。例如您的STS臨時帳號的有效時間長度設定為1200秒、簽名URL設定為3600秒時，當有效時間長度超過1200秒後，您無法使用此STS臨時帳號產生的簽名URL上傳檔案。

注意事項

本文以華東1（杭州）外網Endpoint為例。如果您希望通過與OSS同地區的其他阿里雲產品訪問OSS，請使用內網Endpoint。關於OSS支援的Region與Endpoint的對應關係，請參見訪問網域名稱和資料中心。
本文以OSS網域名稱建立OSSClient為例。如果您希望通過自訂網域名、STS等方式建立OSSClient，請參見初始化。

使用STS臨時授權

OSS可以通過阿里雲STS（Security Token Service）進行臨時授權訪問。阿里雲STS是為雲端運算使用者提供臨時存取權杖的Web服務。通過STS，您可以為第三方應用或子使用者（即使用者身份由您自己管理的使用者）頒發一個自訂時效和許可權的訪問憑證。關於STS的更多資訊，請參見STS介紹。

STS的優勢如下：

您無需透露您的長期密鑰（AccessKey）給第三方應用，只需產生一個存取權杖並將令牌交給第三方應用。您可以自訂這個令牌的存取權限及有效期間限。
您無需關心許可權撤銷問題，存取權杖到期後自動失效。

通過STS臨時授權訪問OSS的步驟如下：

擷取臨時訪問憑證
臨時訪問憑證包括臨時存取金鑰（AccessKey ID和AccessKey Secret）和安全性權杖（SecurityToken）。臨時訪問憑證有效時間單位為秒，最小值為900，最大值以當前角色設定的最大會話時間為準。更多資訊，請參見設定RAM角色最大會話時間。
您可以通過以下兩種方式擷取臨時訪問憑證。
- 方式一
  通過調用STS服務的AssumeRole介面擷取臨時訪問憑證。
- 方式二
  通過各語言STS SDK擷取臨時訪問憑證。

使用STS憑證建構簽章請求。

using Aliyun.OSS;
// yourEndpoint填寫Bucket所在地區對應的Endpoint。以華東1（杭州）為例，Endpoint填寫為https://oss-cn-hangzhou.aliyuncs.com。
var endpoint = "yourEndpoint";
運行本程式碼範例之前，請確保已使用STS服務擷取的臨時存取金鑰設定環境變數YOUR_ACCESS_KEY_ID和YOUR_ACCESS_KEY_SECRET。
var accessKeyId = Environment.GetEnvironmentVariable("OSS_ACCESS_KEY_ID");
var accessKeySecret = Environment.GetEnvironmentVariable("OSS_ACCESS_KEY_SECRET");
// 從STS服務擷取的安全性權杖（SecurityToken）。
var securityToken = "yourSecurityToken";
// 擷取STS臨時憑證後，您可以通過其中的安全性權杖（SecurityToken）和臨時存取金鑰（AccessKeyId和AccessKeySecret）產生OSSClient。
// 建立OSSClient執行個體。
var ossStsClient = new OssClient(endpoint, accessKeyId, accessKeySecret, securityToken);
// 執行OSS相關操作。

使用簽名URL臨時授權

注意事項

產生簽名URL過程中，SDK利用本機存放區的密鑰資訊，根據特定演算法計算出簽名（signature），然後將其附加到URL上，以確保URL的有效性和安全性。這一系列計算和構造URL的操作都是在用戶端完成，不涉及網路請求到服務端。因此，產生簽名URL時不需要授予調用者特定許可權。但是，為避免第三方使用者無法對簽名URL授權的資源執行相關操作，需要確保調用產生簽名URL介面的身份主體被授予對應的許可權。
例如，通過簽名URL上傳檔案時，需要授予oss:PutObject許可權。通過簽名URL下載或預覽檔案時，需要授予oss:GetObject許可權。
您可以將產生的簽名URL提供給訪客進行臨時訪問。產生簽名URL時，您可以自訂URL的到期時間來限制訪客的訪問時間長度。
如果需要產生HTTPS協議的簽名URL，請將Endpoint中的通訊協定設定為HTTPS。
通過以下樣本產生的簽名URL中如果包含特殊符號+，可能出現無法正常訪問該簽名URL的現象。如需正常訪問該簽名URL，請將簽名URL中的+替換為%2B。

以下是使用簽名URL臨時授權的常見樣本。使用簽名URL進行臨時授權的完整範例程式碼，請參見GitHub。

產生簽名URL並通過簽名URL上傳檔案

產生用於上傳的簽名URL

using Aliyun.OSS;
using Aliyun.OSS.Common;
// 填寫Bucket所在地區對應的Endpoint。以華東1（杭州）為例，Endpoint填寫為https://oss-cn-hangzhou.aliyuncs.com。
var endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
// 從環境變數中擷取訪問憑證。運行本程式碼範例之前，請確保已設定環境變數OSS_ACCESS_KEY_ID和OSS_ACCESS_KEY_SECRET。
var accessKeyId = Environment.GetEnvironmentVariable("OSS_ACCESS_KEY_ID");
var accessKeySecret = Environment.GetEnvironmentVariable("OSS_ACCESS_KEY_SECRET");
// 填寫Bucket名稱，例如examplebucket。
var bucketName = "examplebucket";
// 填寫Object完整路徑，完整路徑中不包含Bucket名稱，例如exampledir/exampleobject.txt。
var objectName = "exampledir/exampleobject.txt";
var objectContent = "More than just cloud.";
// 建立OSSClient執行個體。
var client = new OssClient(endpoint, accessKeyId, accessKeySecret);
try
{
    // 產生簽名URL。
    var generatePresignedUriRequest = new GeneratePresignedUriRequest(bucketName, objectName, SignHttpMethod.Put)
    {
        // 設定簽名URL到期時間，預設值為3600秒。
        Expiration = DateTime.Now.AddHours(1),
    };
    var signedUrl = client.GeneratePresignedUri(generatePresignedUriRequest);
}
catch (OssException ex)
{
    Console.WriteLine("Failed with error code: {0}; Error info: {1}. \nRequestID:{2}\tHostID:{3}",
        ex.ErrorCode, ex.Message, ex.RequestId, ex.HostId);
}
catch (Exception ex)
{
    Console.WriteLine("Failed with error info: {0}", ex.Message);
}

通過簽名URL上傳檔案
您可以參考移動端Android SDK通過簽名URL上傳檔案。更多資訊，請參見通過簽名URL上傳檔案。

產生簽名URL並通過簽名URL下載檔案

產生用於下載的簽名URL

using Aliyun.OSS;
using Aliyun.OSS.Common;
// 填寫Bucket所在地區對應的Endpoint。以華東1（杭州）為例，Endpoint填寫為https://oss-cn-hangzhou.aliyuncs.com。
var endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
// 從環境變數中擷取訪問憑證。運行本程式碼範例之前，請確保已設定環境變數OSS_ACCESS_KEY_ID和OSS_ACCESS_KEY_SECRET。
var accessKeyId = Environment.GetEnvironmentVariable("OSS_ACCESS_KEY_ID");
var accessKeySecret = Environment.GetEnvironmentVariable("OSS_ACCESS_KEY_SECRET");
// 填寫Bucket名稱，例如examplebucket。
var bucketName = "examplebucket";
// 填寫Object完整路徑，完整路徑中不包含Bucket名稱，例如exampledir/exampleobject.txt。
var objectName = "exampledir/exampleobject.txt";
// 填寫Object下載到本地檔案的完整路徑。例如D:\\localpath\\examplefile.txt。如果指定的本地檔案存在會覆蓋，不存在則建立。
var downloadFilename = "D:\\localpath\\examplefile.txt";
// 建立OSSClient執行個體。
var client = new OssClient(endpoint, accessKeyId, accessKeySecret);
try
{
    var metadata = client.GetObjectMetadata(bucketName, objectName);
    var etag = metadata.ETag;
    // 產生簽名URL。
    var req = new GeneratePresignedUriRequest(bucketName, objectName, SignHttpMethod.Get)
      {
        // 設定簽名URL到期時間，預設值為3600秒。
        Expiration = DateTime.Now.AddHours(1),
    };
    var uri = client.GeneratePresignedUri(req);
}
catch (OssException ex)
{
    Console.WriteLine("Failed with error code: {0}; Error info: {1}. \nRequestID:{2}\tHostID:{3}",
        ex.ErrorCode, ex.Message, ex.RequestId, ex.HostId);
}
catch (Exception ex)
{
    Console.WriteLine("Failed with error info: {0}", ex.Message);
}

通過簽名URL下載檔案
您可以參考移動端Android SDK通過簽名URL下載檔案。更多資訊，請參見通過簽名URL下載檔案。