python 授权管理_授权访问_Python_SDK 示例_对象存储 OSS - 阿里云

使用STS临时授权

OSS可以通过阿里云STS (Security Token Service) 进行临时授权访问。阿里云STS是为云计算用户提供临时访问令牌的Web服务。通过STS，您可以为第三方应用或子用户(即用户身份由您自己管理的用户)颁发一个自定义时效和权限的访问凭证。STS更详细的解释请参见STS介绍。

STS的优势如下：

您无需透露您的长期密钥(AccessKey)给第三方应用，只需生成一个访问令牌并将令牌交给第三方应用。您可以自定义这个令牌的访问权限及有效期限。

您无需关心权限撤销问题，访问令牌过期后自动失效。

使用STS访问OSS的流程请参见开发指南中的STS临时授权访问OSS。

执行pip install aliyun-python-sdk-sts命令，安装官方的Python STS客户端。有关STS应用的完整示例代码，请参见GitHub。

确保使用2.0.6及以上版本SDK。以下代码用于使用STS临时授权下载文件：# -*- coding: utf-8 -*-

from aliyunsdkcore import client

from aliyunsdksts.request.v20150401 import AssumeRoleRequest

import json

import oss2

# Endpoint以杭州为例，其它Region请按实际情况填写。

endpoint = 'oss-cn-hangzhou.aliyuncs.com'

# 阿里云主账号AccessKey拥有所有API的访问权限，风险很高。强烈建议您创建并使用RAM账号进行API访问或日常运维，请登录RAM控制台创建RAM账号。

access_key_id = ''

access_key_secret = ''

bucket_name = ''

object_name = ''

# role_arn为角色的资源名称。

role_arn = ''

# 创建policy_text。

# 仅允许对名称为test-bucket1的Bucket下的所有资源执行GetObject操作。

policy_text = '{"Version": "1", "Statement": [{"Action": ["oss:GetObject"], "Effect": "Allow", "Resource": ["acs:oss:*:*:test-bucket1/*"]}]}'

clt = client.AcsClient(access_key_id, access_key_secret, 'cn-hangzhou')

req = AssumeRoleRequest.AssumeRoleRequest()

# 设置返回值格式为JSON。

req.set_accept_format('json')

req.set_RoleArn(role_arn)

req.set_RoleSessionName('session-name')

req.set_Policy(policy_text)

body = clt.do_action_with_exception(req)

# 使用RAM账号的AccessKeyId和AccessKeySecret向STS申请临时token。

token = json.loads(oss2.to_unicode(body))

# 使用临时token中的认证信息初始化StsAuth实例。

auth = oss2.StsAuth(token['Credentials']['AccessKeyId'],

token['Credentials']['AccessKeySecret'],

token['Credentials']['SecurityToken'])

# 使用StsAuth实例初始化存储空间。

bucket = oss2.Bucket(auth, endpoint, bucket_name)

# 下载object。

read_obj = bucket.get_object(object_name)

print(read_obj.read())