文档中心

弹性文件存储

管理接入点

配置接入点策略

接入点策略用于控制不同身份对文件系统特定目录的访问权限，满足您对权限细粒度控制的要求，实现更灵活的文件系统访问权限管理。本文介绍配置接入点策略的操作步骤及注意事项。

前提条件

已创建接入点，具体步骤，请参见创建接入点。

已获取接入点 ID，具体步骤，请参见查看接入点。

注意事项

启用接入点策略后，默认禁止所有账号（包括主账号、IAM 用户、IAM 角色）使用接入点挂载和访问数据，您需要配置接入点客户端策略，并将策略授权给账号后，才可以通过接入点进行挂载访问。

对于未启用接入点策略并已挂载使用的接入点，启用接入点策略可能会造成业务中断。

关闭接入点策略后，为了不影响存量业务访问，建议在未启用接入点策略的情况下进行增量挂载。

步骤一：开启接入点策略功能

登录文件存储 NAS 控制台。

在顶部菜单栏，选择目标文件系统所在地域。

在左侧导航栏，选择文件系统 > 文件系统列表，在文件系统列表页面，单击目标文件系统名称。

在文件系统详情页，单击接入点页签，然后单击目标接入点的名称。

在接入点详情面板接入点策略区域，开启 IAM策略。

步骤二：创建接入点权限策略

在左侧导航栏，单击权限策略。

在策略列表页面，单击新建自定义策略。

在新建自定义策略页面，设置策略名称和备注。

单击 JSON 编辑器页签，根据实际业务需求，配置接入点权限策略。

以下提供了典型的接入点权限策略示例：接入点只读策略，接入点读写策略，供您参考。

注意

如果接入点对应的根目录也同时配置了与 TOS 之间的数据流动策略，请前往 TOS 控制台查看关联目录对应桶的权限管理策略，避免两侧权限未对齐导致的数据泄露。更多信息，请参见TOS 权限与文件系统接入点挂载权限的映射关系。

接入点只读策略
接入点读写策略

{
"Statement": [
{
"Effect": "Allow",
"Action": [
"filenas:ClientMount",
"filenas:ClientRootAccess"
],
"Resource": ["trn:filenas:<RegionId>:<AccountId>:filesystem/<FilesystemId>"],
"Condition": {
"StringEquals": {
"volc:RequestTag/accesspoint": "<接入点 ID>"
}
}
},
{
"Effect": "Allow",
"Action": [
"filenas:VerifyAccessPoint",
"filenas:DescribeAccessPoints",
"filenas:CreateAccessPoint",
"filenas:ModifyAccessPoint",
"filenas:DeleteAccessPoint"
],
"Resource": [
"*"
]
}
]
}

重要参数说明如下：

参数	参数说明
Action	用于定义权限的操作范围，取值如下： filenas:ClientMount：支持挂载文件系统和读取数据。 filenas:ClientWrite：支持写数据，不能单独使用，需要同时授权 ClientMount 以支持文件系统挂载和数据读取。 filenas:ClientRootAccess：允许使用 root 账号访问，不能单独使用，需要同时授权 ClientMount 和ClientWrite。 * 如果没有授权该操作，以 root 用户身份访问时，将映射成 nobody 用户。 * 如果接入点绑定了 POSIX 用户，那么 ClientRootAccess 也会对该 POSIX 用户产生影响。例如，绑定了 POSIX 用户为 root，但是没有授权 ClientRootAccess，通过该接入点挂载后所有 IO 操作的 POSIX 用户最终会映射为 nobody 用户。说明 nobody 用户是 Linux 系统的默认用户，只能访问服务器上的公共内容，具有低权限，高安全性的特点。 filenas:VerifyAccessPoint：支持基于指定账户 ID 检验接入点的 IAM 权限。 filenas:DescribeAccessPoints：支持查看接入点。 filenas:CreateAccessPoint：支持创建接入点。 filenas:ModifyAccessPoint：支持修改接入点。 filenas:DeleteAccessPoint：支持删除接入点。
Resource	用于定义权限的资源范围，说明如下：无需控制资源范围时，则填写 *，表示授予所有 NAS 资源的权限。如果您需要授予账号接入点的根目录访问权限，则填写接入点的 TRN，关于查看接入点 TRN 的具体步骤，参见查看接入点。
Condition	用于定义权限的生效条件，详细说明，参见条件（Condition）。

单击提交。

步骤三：授予 IAM 用户、IAM 角色或 IAM 用户组接入点权限

说明

IAM 角色不具备永久身份凭证，只能通过 STS 临时 AK/SK+Token 的方式短期访问 NAS，当该临时访问凭证失效，IAM 角色将无法访问 NAS。

为用户组关联策略后，组内所有用户即拥有相应策略权限。

为 IAM 用户、 IAM 角色、IAM 用户组完成授权后，授权生效需要一定时间，请您耐心等待。

为 IAM 用户授权

为 IAM 角色授权

为 IAM 用户组授权

创建 IAM 用户，具体操作，参见新建 IAM 用户。

说明

若目标 IAM 用户已存在，请跳过此步骤。

授予 IAM 用户接入点权限。

在左侧导航栏选择用户管理 > 用户。

在用户页面，单击目标用户的名称。

单击权限页签，单击添加权限。

在添加授权页面，选择接入点权限策略。

单击提交。

TOS 权限与文件系统接入点挂载权限的映射关系

TOS 权限与文件系统接入点挂载权限的映射关系如下：

文件系统挂载权限	TOS 桶策略	TOS Bucket ACL	IAM 策略
ClientMount	HeadBucket 、ListBucket 和 GetObject	读取权限	预设策略：TOSReadOnlyAccess 自定义策略：HeadBucket 、ListBucket 和 GetObject
ClientMount 和 ClientWrite	HeadBucket 和 PutObject HeadBucket 和 DeleteObject	写入权限读取权限和写入权限	预设策略：TOSFullAccess、AdministratorAccess 自定义策略：HeadBucket 和 PutObject ，或 HeadBucket 和 DeleteObject

最近更新时间：2025.09.26 16:16:08

这个页面对您有帮助吗？

有用

无用