阿里云 OSS（S3 兼容）
获取 AccessKey，按 S3 表单字段配置阿里云 OSS 的 Bucket、Region 和允许的操作。
在连接器的 访问内容 → 添加访问 中，从 服务预设 选择 阿里云 OSS（S3 兼容）。这份凭证供 S3 客户端使用；要让 ZAI 用 ossutil 访问，请改选阿里云 OSS（ossutil）。
获取与填写凭证
在阿里云控制台的 访问控制 RAM → 用户 中为所需 RAM 用户创建 AccessKey，按目标 Bucket 授予最小必要权限。不要使用主账号的 AccessKey 作为团队共享凭证。
这张表单沿用 S3 的字段名：把阿里云的 AccessKey ID 填入 Access Key ID，AccessKey Secret 填入 Secret Access Key。使用 STS 临时身份时，三者必须来自同一次签发，把 SecurityToken 填入 Session Token（可选）；使用长期 AccessKey 时留空。平台不会自动续期 STS 凭证；建议填写到期时间，到期前用 替换凭证 重新提交同次签发的 Access Key ID、Secret Access Key 和 Session Token（可选）。
官方说明：创建 AccessKey。
服务地址
推荐配置不需要填写服务地址，会按 Bucket 和 Region 自动使用公网地址 https://<bucket>.oss-<region>.aliyuncs.com。
需要内网地址时切换到 自定义：在 目标地址 填写 <bucket>.oss-<region>-internal.aliyuncs.com，再让请求经能访问该地域内网的网络隧道发出：为连接器指定这条隧道；或者在 协议、路径和内网设置 中把 内网路由要求 设为 必须经内网路由，并在沙箱配置里添加经这条隧道的内网路由。
Region
在 OSS 控制台 Bucket 概览中查找地域代码；填写 cn-hangzhou 一类地域代码，不填写完整服务地址。
Bucket
从 OSS Bucket 列表或概览复制 Bucket 名称。名称不包含协议、路径或域名后缀。
访问方式
访问方式 保持 Bucket 子域名，不要选 Bucket 路径。
允许的操作
复选框显示的是 S3 操作名，含义如下。默认只勾选 get_object；需要列目录时另选 list_objects_v2。RAM 权限也必须允许这些操作。
| 操作名 | 作用 |
|---|---|
| list_objects_v2 | 列举对象 |
| get_object | 下载对象 |
| put_object | 上传对象 |
| delete_object | 删除对象 |
| head_object | 查看对象信息 |
| head_bucket | 检查 Bucket |
这份凭证不支持分片上传、预签名链接和对象复制，需要分片上传的大文件无法上传。需要分片上传时，改用阿里云 OSS（ossutil）。
验证
保存后请 ZAI 用一项已授权的只读操作（如 get_object）访问目标对象。签名错误先核对密钥配对、Region 和服务地址，再核对 允许的操作 与 RAM 权限。其余排查见验证与排错。