文档中心

对象存储

请输入

用户指南

权限管理

本文介绍 TOS Vectors 的权限管理方式、资源格式、权限动作及常用策略示例，帮助您为 IAM 用户、角色或其他账号配置向量桶、向量索引和向量数据的访问权限。

权限策略类型

主账号默认拥有全部权限，IAM 用户默认无权限。TOS Vectors 支持以下两种方式授予访问权限：

IAM 策略：将策略绑定到 IAM 用户或角色，授予其访问 TOS Vectors 资源的权限。IAM 策略中通常无需指定 Principal，策略绑定的 IAM 身份即为授权主体。

向量桶策略：直接配置在向量桶上的资源策略，可通过 Principal 指定被授权的账号或 IAM 身份。设置向量桶策略需要 tosvectors:PutVectorBucketPolicy 权限。

建议遵循最小权限原则，仅授予完成业务所必需的 Action 和 Resource。

注意事项

区分服务前缀：TOS Vectors 的权限动作以 tosvectors: 为前缀，与普通 TOS 存储桶使用的 tos: 动作不同，配置时请勿混用。

遵循最小权限原则：优先按指定向量桶和必要 Action 授权，避免直接授予 tosvectors:* 和 Resource: "*"。

谨慎授予策略管理权限：拥有 tosvectors:PutVectorBucketPolicy 的身份可以修改向量桶策略，可能进一步扩大资源访问范围。

确认授权主体：配置向量桶策略时，核对 Principal 对应的账号或 IAM 身份，避免误授权。

匹配地域与资源：Resource 中的地域、账号 ID 和向量桶名称必须与目标资源一致。

显式拒绝优先：同一请求同时匹配 Allow 和 Deny 规则时，Deny 优先，系统将拒绝该请求。

资源格式

适用全部资源

指定向量桶

trn:tosvectors:{region}:{account_id}:bucket/{vector_bucket_name}

参数说明：

参数	说明	示例
region	向量桶所在地域。	cn-beijing
account_id	向量桶所属主账号的账号 ID。	2100000000
vector_bucket_name	向量桶名称。	example-vector-bucket

权限动作

类型	Action	说明	建议 Resource
向量桶操作	tosvectors:CreateVectorBucket	创建向量桶。	创建操作资源尚未确定，使用 *
		tosvectors:DeleteVectorBucket	删除向量桶。	指定向量桶
		tosvectors:GetVectorBucket	获取向量桶信息。	指定向量桶
		tosvectors:ListVectorBuckets	列举当前账号下的向量桶。	列举操作通常作用于账号下所有向量桶，使用 *
		tosvectors:PutVectorBucketPolicy	设置向量桶策略。	指定向量桶
		tosvectors:GetVectorBucketPolicy	获取向量桶策略。	指定向量桶
		tosvectors:DeleteVectorBucketPolicy	删除向量桶策略。	指定向量桶
资源标签操作	tosvectors:TagResource	为 TOS Vectors 资源添加标签。	指定向量桶
		tosvectors:UntagResource	删除 TOS Vectors 资源标签。	指定向量桶
		tosvectors:ListTagsForResource	查询 TOS Vectors 资源标签。	指定向量桶
向量索引操作	tosvectors:CreateIndex	在向量桶中创建向量索引。	所属向量桶
		tosvectors:DeleteIndex	删除向量索引。	所属向量桶
		tosvectors:GetIndex	获取向量索引信息。	所属向量桶
		tosvectors:ListIndexes	列举向量桶中的向量索引。	所属向量桶
向量数据操作	tosvectors:PutVectors	向指定索引写入向量数据。	所属向量桶
		tosvectors:GetVectors	获取指定向量数据。	所属向量桶
		tosvectors:QueryVectors	查询相似向量。	所属向量桶
		tosvectors:DeleteVectors	删除指定向量数据。	所属向量桶
		tosvectors:ListVectors	列举指定索引中的向量数据。	所属向量桶

策略参数说明

权限策略使用 JSON 格式，主要包含以下参数：

参数	是否必需	说明
Version	是	策略语法版本，本文示例使用 2012-10-17。
Statement	是	权限声明列表，一条策略可包含多条声明。
Effect	是	授权效果，取值如下： Allow：允许对 Resource 指定的资源执行 Action 中定义的操作。 Deny：拒绝对 Resource 指定的资源执行 Action 中定义的操作。如果同一请求同时匹配 Allow 和 Deny，则 Deny 优先。
Principal	视策略类型而定	指定被授权主体。向量桶策略：必须填写。 IAM 策略：通常不填写该参数。
Action	是	允许或拒绝的操作，格式为 tosvectors:<ActionName>。
Resource	是	权限作用的资源，可填写具体向量桶资源或 *。
Condition	否	权限生效条件。

策略示例

使用以下策略示例时，请将地域、账号 ID、向量桶名称和被授权主体替换为您的实际信息。

示例一：允许查看指定向量桶及其中的索引和向量

以下 IAM 策略允许被绑定的 IAM 身份查看指定向量桶、索引和向量数据，但不允许创建、修改或删除资源。

{​
  "Version": "2012-10-17",​
  "Statement": [​
    {​
      "Effect": "Allow",​
      "Action": [​
        "tosvectors:GetVectorBucket",​
        "tosvectors:GetIndex",​
        "tosvectors:ListIndexes",​
        "tosvectors:GetVectors",​
        "tosvectors:QueryVectors",​
        "tosvectors:ListVectors"​
      ],​
      "Resource": "trn:tosvectors:cn-beijing:2100000000:bucket/example-vector-bucket"​
    }​
  ]​
}​

示例二：允许读写指定向量桶中的向量数据

以下 IAM 策略允许被绑定的 IAM 身份读取、写入、查询和删除指定向量桶中的向量数据，但不允许删除向量桶或修改向量桶策略。

{​
  "Version": "2012-10-17",​
  "Statement": [​
    {​
      "Effect": "Allow",​
      "Action": [​
        "tosvectors:GetVectorBucket",​
        "tosvectors:GetIndex",​
        "tosvectors:ListIndexes",​
        "tosvectors:PutVectors",​
        "tosvectors:GetVectors",​
        "tosvectors:QueryVectors",​
        "tosvectors:DeleteVectors",​
        "tosvectors:ListVectors"​
      ],​
      "Resource": "trn:tosvectors:cn-beijing:2100000000:bucket/example-vector-bucket"​
    }​
  ]​
}​

示例三：允许管理指定向量桶中的索引

以下 IAM 策略允许被绑定的 IAM 身份创建、删除、查看和列举指定向量桶中的向量索引。

{​
  "Version": "2012-10-17",​
  "Statement": [​
    {​
      "Effect": "Allow",​
      "Action": [​
        "tosvectors:CreateIndex",​
        "tosvectors:DeleteIndex",​
        "tosvectors:GetIndex",​
        "tosvectors:ListIndexes"​
      ],​
      "Resource": "trn:tosvectors:cn-beijing:2100000000:bucket/example-vector-bucket"​
    }​
  ]​
}​

示例四：通过向量桶策略授权指定账号读取向量数据

以下策略直接配置在向量桶上，通过 Principal 指定被授权账号。

{​
  "Version": "2012-10-17",​
  "Statement": [​
    {​
      "Effect": "Allow",​
      "Principal": [​
        "2100000001"​
      ],​
      "Action": [​
        "tosvectors:GetVectorBucket",​
        "tosvectors:GetIndex",​
        "tosvectors:ListIndexes",​
        "tosvectors:GetVectors",​
        "tosvectors:QueryVectors",​
        "tosvectors:ListVectors"​
      ],​
      "Resource": "trn:tosvectors:cn-beijing:2100000000:bucket/example-vector-bucket"​
    }​
  ]​
}​

最近更新时间：2026.09.24 17:38:34

这个页面对您有帮助吗？

有用

无用