文档中心

文件存储 vePFS

接入点

配置接入点策略

通过为接入点配置接入点策略，您可以控制同一主账号下不同 IAM 用户或 IAM 角色对文件系统的访问权限，满足您对权限细粒度的更高要求，实现更灵活的文件系统访问权限管理。本文介绍配置接入点策略的操作步骤。

前提条件

已创建接入点。具体操作，请参见创建接入点。

使用限制

在启用接入点策略后，默认禁止所有 IAM 账号（包括主账号、IAM 用户、IAM 角色）使用接入点挂载和访问数据，您需要配置接入点客户端策略，并将策略授权给 IAM 账号后，才能通过接入点进行挂载访问。

对于未启用接入点策略并已挂载使用的接入点，启用接入点策略可能会造成运行中的业务中断。

在关闭接入点策略后，不影响存量业务访问，请使用未启用策略的方式进行增量挂载。

操作步骤

登录文件存储 vePFS 控制台。

在顶部菜单栏，选择目标文件系统所在地域。

在左侧导航栏，选择文件系统 > 文件系统列表。

在文件系统列表页面，单击目标文件系统名称。

在文件系统概览页，单击接入点页签。

在接入点页面，单击目标接入点操作列的管理，或直接单击目标接入点名称。

在接入点概览页，单击接入点策略页签。

在接入点策略区域，单击 IAM 策略下的开启图标，启用接入点策略。

说明

典型策略示例区域提供了建议的可读策略和可读可写策略代码。具体说明，请参见典型策略示例。

若接入点根目录存在相关数据流动策略，为确保数据访问权限的一致性，系统将自动获取 TOS 侧相关权限配置，并基于获取的 TOS 权限，在 TOS 权限与文件系统挂载权限的映射关系区域提供建议配置的文件系统挂载权限。具体说明，请参见 TOS 权限与文件系统挂载权限的映射关系。

配置接入点客户端权限策略。

在左侧导航栏中，选择权限策略。

在权限策略页面，单击新建自定义策略。

在新建自定义策略页面，填写策略名和备注。

单击 JSON 编辑器页签。

根据实际业务需求，配置可读策略或可读可写策略。

说明

您可以在 vePFS 控制台的接入点策略页签，复制典型策略示例区域提供的示例代码至该 JSON 编辑器。

单击提交。

为 IAM 用户组、 IAM 用户、IAM 角色授权接入点客户端权限策略。

说明

IAM 角色不具备永久身份凭证，只能通过 STS 临时 AK/SK+Token 的方式短期访问 vePFS，当该临时访问凭证失效，IAM 角色即无法访问 vePFS。

为用户组关联策略后，组内所有用户即拥有相应策略权限。

在为 IAM 用户、 IAM 角色、IAM 用户组授权后，授权生效需要一定时间，请您耐心等待。

为 IAM 用户组授权
为 IAM 用户授权
为 IAM 角色授权
创建 IAM 用户。具体操作，请参见新建 IAM 用户。
创建用户组。具体操作，请参见新建用户组。
在用户组列表中，单击目标用户组名。
在用户组详情页面，选择用户页签，单击添加用户。
在添加用户面板中，选择步骤 1 中创建的用户，单击确定。
选择权限页签，单击添加权限。
在添加授权页面，选择客户端权限策略。
单击提交。
创建 IAM 用户。具体操作，请参见新建 IAM 用户。
说明
若目标 IAM 用户已存在，请跳过此步骤。
为 IAM 用户授权客户端权限策略。
在用户列表中，单击目标用户名。
在用户详情页，选择权限页签。
单击添加权限。
在添加授权页面，选择客户端策略。
单击提交。
创建角色授信 IAM 用户，并为其授予 STSAssumeRoleAccess 权限。操作步骤，请参见新建 IAM 用户。
创建 IAM 角色。操作步骤，请参见新建 IAM 角色。
说明
若目标 IAM 角色已存在，请跳过此步骤。
指定 IAM 角色信任策略的授权用户。
在角色列表中，单击目标角色名称。
在角色详情页面，选择信任关系页签。
在信任关系页签，单击编辑信任策略。
将参数 Principal 中的 root 用户修改为步骤 1 中创建的用户名。
单击保存。
为 IAM 角色授予客户端策略权限。
在角色列表中，单击目标角色名称。
在角色详情页面，选择权限页签。
在权限页签，单击添加权限。
在添加权限页面，选择目标客户端权限策略。
单击提交。
请求 AssumeRole 接口获取临时访问凭证。更多信息，请参见 AssumeRole - 角色扮演。

典型策略示例

给出了建议的客户端权限策略配置代码，代码示例如下：

可读策略

可读可写策略

重要参数说明如下：

参数	说明
Action	定义了权限的操作范围，取值如下： vepfs:ClientMount：支持挂载文件系统和读取数据。 vepfs:ClientWrite：支持写数据，不单独使用，需要同时授权ClientMount以支持文件系统挂载和数据读取。 vepfs:ClientRootAccess：允许使用root用户访问。如果没有授权该操作，以root用户身份访问时，将映射为nobody用户。 nobody用户是 Linux 系统的默认用户，只能访问服务器上的公共内容，具有低权限，高安全性的特点。如果接入点绑定了POSIX用户，则该POSIX用户也受ClientRootAccess影响。例如，绑定了POSIX用户为root，但没有授权ClientRootAccess，则通过该接入点挂载后所有 I/O 的POSIX用户最终都会映射为nobody用户。
Resource	定义了权限的资源范围。无需控制资源范围时，填写*，表示权限在所有 vePFS 资源内有效。需要控制资源范围时，填写接入点的 TRN。查看接入点 TRN 的操作方法，请参见查看接入点信息。
Condition	定义了权限的生效条件。关于Condition的详细说明，请参见条件（Condition）。

TOS 权限与文件系统挂载权限的映射关系

TOS 权限与文件系统挂载权限的映射关系区域框中展示了接入点关联的 TOS 存储桶及建议配置的文件系统挂载权限信息，包括：

TOS 桶：当前接入点关联的 TOS 存储桶信息。

Action：建议配置的文件系统挂载权限，由相应 TOS 桶的权限配置映射得到。TOS 权限与文件系统挂载权限的映射关系如下。

说明

符合 TOS 桶策略或 TOS Bucket ACL 或 IAM 策略任意一项条件即可，不需要全部满足。

文件系统挂载权限	TOS 桶策略	TOS Bucket ACL	IAM 策略
ClientMount	HeadBucket 且 ListBucket 且 GetObject	读取权限	预设策略：TOSReadOnlyAccess 自定义策略：HeadBucket 且 ListBucket 且 GetObject
ClientMount ClientWrite	HeadBucket 且（PutObject 或 DeleteObject）	写入权限或读取权限+写入权限	预设策略：TOSFullAccess、AdministratorAccess 自定义策略：HeadBucket 且（PutObject 或 DeleteObject）

用户列表：建议授权的用户信息。

最近更新时间：2025.12.26 17:33:17

这个页面对您有帮助吗？

有用

无用