在使用对象存储服务时候都会用到权限控制，本文试图以图形化，拟物化的手法将权限控制的原理 和一些应用场景解释清楚，使得在使用过程中减少困惑，使用起来得心应手。在开始之前我们先讲几个原则，方便在后面使用中把握主体方向。权限控制介绍分几部分，第一部分为原理介绍，第二部分是一些场景说明。

•  原则一： 对象存储的访问控制，受 IAM（用户身份识别）、桶策略、桶ACL/对象ACL 三方互相作用而产生的结果。

• 原则二： IAM部分的权限控制当前只能到服务级别，既允许/阻止 使用对象存储服务，无法控制单个桶或对象

• 原则三：桶策略控制中 桶名、对象或对象前缀是需要控制的资源（resource），PUT*/GET*等是要控制的动作（action），效果只有allow或deny，控制谁--->选择具体的用户（Principal）；需要掌握着几个概念。
  

1.一张图用于判断当前权限应该是什么  

2. IAM上权限控制说明

  IAM上是用来创建子用户，和子用户下的访问密钥（AK SK），而用户要设置权限则要归属于某个用户组，用户组上定义此用户组下所有用户的权限范围。

如下图所示：

OBS自定义策略有哪些授权项可以参考下面的链接。

https://support.huaweicloud.cn/api-obs/zh-cn_topic_0173616348.html

3. 桶策略的权限控制说明

整体控制策略和原理如下图所示，需要每个项的值 和使用需要实际操作和参考更详细的产品文档说明。

https://support.huaweicloud.cn/devg-obs/zh-cn_topic_0132788579.html