文档中心

弹性文件存储

管理接入点

配置接入点策略

接入点策略用于控制不同身份对文件系统特定目录的访问权限，满足您对权限细粒度控制的要求，实现更灵活的文件系统访问权限管理。本文介绍配置接入点策略的注意事项和操作步骤。

前提条件

已创建接入点。具体操作，请参见创建接入点。

注意事项

启用接入点策略后，默认禁止所有账号（包括主账号、IAM 用户、IAM 角色）使用接入点挂载和访问数据，您需要配置接入点客户端策略，并将策略授权给账号后，才可以通过接入点进行挂载访问。

对于未启用接入点策略并已挂载使用的接入点，启用接入点策略可能会造成业务中断。

关闭接入点策略后，为了不影响存量业务访问，建议在未启用接入点策略的情况下进行增量挂载。

步骤一：开启接入点策略功能

登录弹性文件存储 EFS 控制台。

在顶部菜单栏，选择目标文件系统所在地域。

在左侧导航栏，单击文件系统。

在文件系统页面，单击目标文件系统名称。

在左侧导航栏，单击接入点。

在接入点页面，单击接入点名称。

选择接入点策略页签，单击 IAM 策略下的启用开关。

在启用 IAM 策略对话框中，单击确定。

步骤二：创建接入点权限策略

在左侧导航栏，单击权限策略。

在权限策略页面，单击新建自定义策略。

在新建自定义策略页面，设置策略名称和备注。

单击 JSON 编辑器页签，根据实际业务需求，配置接入点权限策略。

以下提供了典型的接入点权限策略示例：接入点只读策略，接入点读写策略，供您参考。

接入点只读策略
接入点读写策略

{
"Statement": [
{
"Effect": "Allow",
"Action": [
"efs:ClientMount",
"efs:ClientRootAccess"
],
"Resource": ["trn:efs:<RegionId>:<AccountId>:filesystem/<FilesystemId>"],
"Condition": {
"StringEquals": {
"volc:RequestTag/accesspoint": "<接入点 ID>"
}
}
},
{
"Effect": "Allow",
"Action": [
"efs:VerifyAccessPoint",
"efs:DescribeAccessPoints",
"efs:CreateAccessPoint",
"efs:ModifyAccessPoint",
"efs:DeleteAccessPoint"
],
"Resource": [
"*"
]
}
]
}

重要参数说明如下：

参数	参数说明
Action	用于定义权限的操作范围，取值如下： efs:ClientMount：支持挂载文件系统和读取数据。 efs:ClientWrite：支持写数据，不能单独使用，需要同时授权 ClientMount 以支持文件系统挂载和数据读取。 efs:ClientRootAccess：允许使用 root 账号访问，不能单独使用，需要同时授权 ClientMount 和ClientWrite。 * 如果没有授权该操作，以 root 用户身份访问时，将映射成 nobody 用户。 * 如果接入点绑定了 POSIX 用户，那么 ClientRootAccess 也会对该 POSIX 用户产生影响。例如，绑定了 POSIX 用户为 root，但是没有授权 ClientRootAccess，通过该接入点挂载后所有 IO 操作的 POSIX 用户最终会映射为 nobody 用户。说明 nobody 用户是 Linux 系统的默认用户，只能访问服务器上的公共内容，具有低权限，高安全性的特点。 efs:VerifyAccessPoint：支持基于指定账户 ID 检验接入点的 IAM 权限。 efs:DescribeAccessPoints：支持查看接入点。 efs:CreateAccessPoint：支持创建接入点。 efs:ModifyAccessPoint：支持修改接入点。 efs:DeleteAccessPoint：支持删除接入点。
Resource	用于定义权限的资源范围，说明如下：无需控制资源范围时，则填写 *，表示授予所有 EFS 资源的权限。如果您需要授予账号接入点的根目录访问权限，则填写接入点的 TRN。更多信息，请参见查看接入点信息。
Condition	用于定义权限的生效条件的详细说明，请参见条件（Condition）。

单击提交。

步骤三：授予 IAM 用户、IAM 角色或 IAM 用户组接入点权限

说明

IAM 角色不具备永久身份凭证，只能通过 STS 临时 AK/SK+Token 的方式短期访问 EFS，当该临时访问凭证失效，IAM 角色将无法访问 EFS。

为用户组关联策略后，组内所有用户即拥有相应策略权限。

为 IAM 用户、 IAM 角色、IAM 用户组完成授权后，授权生效需要一定时间，请您耐心等待。

为 IAM 用户授权

为 IAM 角色授权

为 IAM 用户组授权

创建 IAM 用户。具体操作，请参见新建 IAM 用户。

说明

若目标 IAM 用户已存在，请跳过此步骤。

授予 IAM 用户接入点权限。

在左侧导航栏，选择用户管理 > 用户。

在用户页面，单击目标用户的名称。

在权限页签，单击添加权限。

在添加授权页面，选择接入点权限策略。

单击提交。

附录

TOS 权限与文件系统接入点挂载权限的映射关系

TOS 权限与文件系统接入点挂载权限的映射关系如下：

文件系统挂载权限	TOS 桶策略	TOS Bucket ACL	IAM 策略
ClientMount	HeadBucket 、ListBucket 和 GetObject	读取权限	预设策略：TOSReadOnlyAccess 自定义策略：HeadBucket 、ListBucket 和 GetObject
ClientMount 和 ClientWrite	HeadBucket 和 PutObject HeadBucket 和 DeleteObject	写入权限读取权限和写入权限	预设策略：TOSFullAccess、AdministratorAccess 自定义策略：HeadBucket 和 PutObject ，或 HeadBucket 和 DeleteObject

最近更新时间：2026.07.02 10:38:18

这个页面对您有帮助吗？

有用

无用