单区域接入点不仅为存储桶提供一个独立的访问域名，还支持为每个接入点配置权限策略。在为接入点委派权限后，用户通过该接入点访问 TOS 资源时，仅支持执行接入点策略中明确授权的操作。本文介绍创建单区域接入点、创建接入点策略、为接入点委派权限等内容的操作步骤。

注意事项

每个接入点仅支持绑定一个存储桶，绑定后，不支持更改。

每个账号在每个地域最多支持创建 100 个接入点。

每个主账号接入点策略的 JSON 描述总大小不能超过 20 KB。

场景说明

在 A 公司旗下有 10 个部门需要协同使用统一的数据湖进行数据训练、模型推理等工作，尽管这些部门访问的是同一个存储桶中的数据，但是所需访问的数据和目录不同。例如：

部门 1～3 需要对 databucket/raw 下的文件进行读取和写入。

部门 4～6 需要对 databucket/processed 下的文件进行读取，无需写入。

部门 7～10 需要对 databucket/features 下的文件进行读取和写入。

针对以上场景，该公司可通过存储桶所属主账号 (210015****)分别为部门 1～3、部门 4～6、部门 7～10 创建接入点、接入点策略，并为接入点委派权限。权限委派成功后，这些部门可通过不同的接入点访问对应数据。

步骤一：创建接入点

登录对象存储控制台。

在左侧导航栏，选择接入点 > 单区域接入点。

在单区域接入点页面，单击创建单区域接入点。

在创建单区域接入点页面，配置如下参数。

参数	说明	示例值
接入点名称	输入接入点名称，命名规则如下：只能包含小写字母 a-z、大写字母 A-Z、中划线（-）、数字。长度限制在 3～50 个字符。不能以中划线（-）开头或结尾，且不能以 -tosalias 结尾。说明接入点名称在每个账号的每个地域内全局唯一。	部门 1～3：ap1 部门 4～6：ap2 部门 7～10：ap3
存储桶	选择待绑定的存储桶，只能选择一个存储桶。	部门 1～3：databucket 部门 4～6：databucket 部门 7～10：databucket
网络来源	选择接入点的网络来源，说明如下：互联网：通过接入点访问 TOS 内资源时，允许来自外网和内网的请求。 VPC：通过接入点访问 TOS 内资源时，仅允许来自指定 VPC 的请求。选择该选项后，还需要选择 VPC 名称。	部门 1～3：互联网部门 4～6：互联网部门 7～10：互联网

完成配置后，单击确定。

单区域接入点创建成功后，您可以单击单区域接入点的名称，在概览页签下，查看单区域接入点的 TRN、别名、外网 Endpoint 等信息。

步骤二：创建接入点策略

接入点策略支持通过可视化视图或 JSON 视图的方式进行创建，您可以根据实际需求和使用习惯灵活选择。

使用可视化视图创建接入点策略

登录对象存储控制台。

在左侧导航栏，选择接入点 > 单区域接入点。

在单区域接入点页面，单击目标单区域接入点的名称。

在单区域接入点详情页面，单击权限页签。

在可视化视图页签下，单击创建策略。

在选择模版配置向导中，选择策略模版，单击下一步。

本场景下，部门 1～3、部门 7～10 选择文件夹读写模版，部门 4～6 选择文件夹只读模版。

在配置策略配置向导中，配置参数，单击下一步。

参数	说明	示例值
策略配置方式	选择可视化视图。	可视化视图
策略名称	设置接入点策略的名称。	部门 1～3：文件夹读写-fb8e 部门 4～6：文件夹只读-b6ec 部门 7～10：文件夹读写-yu3i
效力	选择策略的作用效果。允许：即 Allow，说明该策略创建的权限为接受请求。拒绝：即 Deny，说明该策略创建的权限为拒绝请求。	允许
授权用户	指定账号：仅指定账号具有对应策略的权限，说明如下：当前主账号：用于为当前主账号下的 IAM 用户（子用户）授权。无需输入主账号 ID，单击添加一行，您可以在子用户名称的下拉框中选择子用户名称。其他主账户：用于为其他主账号、其他主账号的 IAM 用户（子用户）授权。需要输入其他主账号 ID 和其他主账号的子用户名称。所有用户：用户（包含匿名用户）可以不通过身份认证即可执行当前接入点策略。如果您的效力为允许，可能导致数据存储安全风险，建议您谨慎选择。	选择当前主账号，单击添加一行，选择子用户名称。各部门使用的子用户名称如下：部门 1～3：ai-dev 部门 4～6：data-dev 部门 7～10：model-dev
用户策略	设置用户授权方式，仅效力为拒绝时，才能设置用户策略参数。当效力为拒绝时，参数含义如下：包含以上用户：拒绝指定的用户拥有某些权限。排除以上用户：除了指定用户外，拒绝其他用户拥有某些权限。说明排除以上用户功能仅用于拒绝用户的权限，本身不会授权。如果您想指定用户拥有某些权限，您还需要创建对应的权限策略。详细介绍，请参见使用 NotPrincipal 实现除了指定用户以外，拒绝其他用户访问。	无
资源范围	当前单区域接入点：表示策略的范围为单区域接入点下的存储桶，您可以在动作中配置桶相关动作。桶内对象：表示策略的范围为桶内对象，您可以在动作中配置对象相关动作。所有对象：表示策略的范围为桶内所有对象。指定对象：选择指定对象后，单击添加字段图标，可以设置指定对象字段。	选中当前单区域接入点和桶内对象，单击指定对象，输入资源路径。各部门所需访问的资源路径如下：部门 1～3： raw/* 部门 4～6：processed/* 部门 7～10：features/*
资源策略	设置资源授权方式。仅效力为拒绝时，才能设置资源策略参数。当效力为拒绝时，参数含义如下：包含以上资源：拒绝用户拥有指定资源的权限。排除以上策略：除了指定资源外，拒绝用户拥有其余资源的权限。说明排除以上资源功能仅用于拒绝用户拥有某些资源权限，本身不会授权。如果您想用户拥有指定资源的权限，您还需要创建对应的权限策略。详细介绍，请参见使用 NotResource 实现除了指定资源以外，拒绝用户访问其余资源。	无
动作	选择需要授权的动作，详细说明，请参见支持动作。	使用模版默认选中的动作。
操作策略	设置动作授权方式，不同的策略效果，含义不同。当效力为拒绝时，操作策略的含义如下：包含以上动作：拒绝用户拥有执行指定动作的权限。排除以上动作：除了指定动作外，拒绝用户拥有执行其余动作的权限。说明排除以上动作功能仅用于拒绝用户拥有执行某些动作的权限，本身不会授权。如果您想用户拥有执行指定动作的权限，您还需要创建对应的权限策略。当效力为允许时，操作策略的含义如下：包含以上动作：允许用户拥有执行指定动作的权限。排除以上动作：除了指定的动作外，允许用户拥有执行其余动作的权限。详细案例介绍，请参见使用 NotAction 授予用户除指定动作外其余动作的执行权限。	包含以上动作
条件	单击添加一行图标，设置您所需要的条件及值。关于条件的参数说明，请参见条件说明。	无

在确认策略配置向导中，单击确定。

使用 JSON 视图创建接入点策略

登录对象存储控制台。

在左侧导航栏，选择接入点 > 单区域接入点。

在单区域接入点页面，单击目标单区域接入点的名称。

在单区域接入点详情页面，单击权限页签。

单击 JSON视图页签。

单击编辑，设置接入点策略内容。

除了 Resource 和 NotResource 参数，接入点策略的其他参数含义和桶策略相同，详细介绍，请参见桶策略参数说明。

参数	说明
Resource	指定接入点策略作用的资源范围，设置规则说明如下：对接入点策略下的存储桶执行相应操作时，您需要设置 Resource 为接入点 TRN。例如 "Resource": "trn:tos:cn-beijing:214748**:accesspoint/bbb"。对接入点策略下的桶中对象执行相应操作时，您需要设置 Resource 为 <接入点 TRN>/object/<桶内资源路径>。例如对 test/ 执行相应操作，则Resource需要配置为"trn:tos:cn-beijing:214748*:accesspoint/bbb/object/test/"。说明在单区域接入点页面，单击单区域接入点名称，在概览页签下，可以获取接入点 TRN。
NotResource	该参数必须和"Effect":"Deny" 一起使用。搭配"Effect":"Deny"使用后，除了 NotResource 指定的资源以外，将拒绝用户访问其他资源。设置规则说明如下：对接入点策略下的存储桶执行相应操作时，您需要设置 Resource 为接入点 TRN。例如 "Resource": "trn:tos:cn-beijing:214748**:accesspoint/bbb"。对接入点策略下的桶中对象执行相应操作时，您需要设置 Resource 为 <接入点 TRN>/object/<桶内资源路径>。例如对 test/ 执行相应操作，则Resource需要配置为"trn:tos:cn-beijing:214748*:accesspoint/bbb/object/test/"。

示例策略如下：

部门 1～ 3 接入点策略
部门 4～6 接入点策略
部门 7 ～ 10 接入点策略

{
"Statement": [
{
"Sid": "文件夹读写-fb8e",
"Effect": "Allow",
"Principal": [
"210015****/ai-dev"
],
"Action": [
"tos:ListBucket",
"tos:HeadBucket",
"tos:ListBucketVersions",
"tos:ListBucketMultipartUploads",
"tos:AbortMultipartUpload",
"tos:GetObject",
"tos:PutObject",
"tos:GetObjectAcl",
"tos:PutObjectAcl",
"tos:GetObjectVersion",
"tos:ListMultipartUploadParts"
],
"Resource": [
"trn:tos:cn-beijing:210015****:accesspoint/ap1",
"trn:tos:cn-beijing:210015****:accesspoint/ap1/object/raw/*"
]
}
]
}

参数配置完成后，单击提交。

步骤三：为接入点委派权限

通过接入点访问桶内资源时，系统会一并检查接入点策略和桶策略，只有当接入点策略和桶策略均允许该请求时，访问才会被放行。任一策略拒绝或未授权，请求将失败。单区域接入点策略创建成功后，您需要在单区域接入点关联的存储桶的桶策略中配置委派授权策略，将桶策略的访问控制能力委派给各个接入点，使得用户可以通过接入点访问桶内资源。

TOS 提供了可视化权限委派功能，在接入点权限委派页面选择委派类型后，系统将自动生成对应的委派授权策略；确认无误后，系统会自动在该单区域接入点关联的存储桶的桶策略中创建相应的委派授权策略，从而简化复杂的桶策略配置，实现基于接入点维度的权限隔离。

登录对象存储控制台。

在左侧导航栏，选择接入点 > 单区域接入点。

在单区域接入点页面，单击目标单区域接入点的名称。

在单区域接入点详情页面，单击权限页签。

在可视化视图页签下，单击接入点权限委派。

在选择委派类型配置向导中，选择委派类型，单击生成 Policy。

委派类型	说明	示例值
DataAccessPointTrn	为当前接入点委派权限，委派完成后，仅当前接入点生效。	选择 AccessPointNetworkOrigin ，然后选择互联网。
DataAccessPointAccount	为当前接入点所属账号下的所有接入点委派权限，委派完成后，该账号下的接入点都会生效。
AccessPointNetworkOrigin	为指定网络来源的所有接入点委派权限，委派完成后，该网络来源下的接入点都会生效。选择 AccessPointNetworkOrigin 后，您还需要选择网络来源，说明如下： VPC：为所有网络来源为 VPC 的接入点委派权限。互联网：为所有网络来源为互联网的接入点委派权限。

在生成 Policy 配置向导中，确认策略信息无误后，单击提交。

后续操作

为接入点委派权限成功后，您可以将接入点别名分享给相应部门，使其可以通过接入点访问对应资源。具体操作，请参见使用单区域接入点。

对象存储