阿里云 OSS（ossutil）
配置 ossutil 使用的 OSS 访问凭证、对象前缀和允许的操作。
在连接器的 访问内容 → 添加访问 中，从 服务预设 选择 阿里云 OSS（ossutil）。配置后，ZAI 可以用预装的 ossutil 列举、上传、下载和删除已授权的对象。一份凭证对应一个 Bucket；服务地址、对象范围和 RAM 权限共同限制访问。
获取与填写凭证
在阿里云 RAM 中创建仅有必要 OSS 权限的用户或临时身份，把配对的 AccessKey ID、AccessKey Secret 分别填入 AccessKey ID 和 AccessKey Secret。使用 STS 时，还须把同次签发的 Security Token 填入 Security Token（可选）。平台不会自动续期 STS 凭证；建议填写到期时间，到期前用 替换凭证 重新提交同次签发的一整组凭证。
真实密钥只保存在平台，ZAI 无法读取。官方说明：创建 AccessKey。
服务地址
填写 https://<bucket>.oss-<region>.aliyuncs.com。内网地址使用 https://<bucket>.oss-<region>-internal.aliyuncs.com，并为连接器指定能访问该地域内网的网络隧道，或配置对应的内网路由。
只支持 HTTPS（443 端口）；不支持自定义域名、加速域名、访问点和路径寻址。
Region
填写 Bucket 所在地域代码，例如 cn-hangzhou。Region 须与服务地址一致；不要填写域名或 -internal 后缀。
Bucket
在 请求规则 中填写 Bucket 名称，不含协议、路径或域名后缀。它须与服务地址中的 Bucket 相同。
对象范围
默认使用 指定对象前缀，每行填写一个前缀，最多 100 个。例如 reports/ 允许该前缀内的对象；reports 还会匹配 reports-backup/。前缀是字面文本，不是通配符表达式；不能包含反斜杠或控制字符，每个前缀最多 1023 个字符。
需要访问整个 Bucket 时，明确选择 整个 Bucket（含后续新增对象）。列举请求也受前缀限制：只授权 reports/ 时，应列举该前缀，直接列举 Bucket 根目录会被拒绝。批量删除中只要有一个对象越界，整批请求就会被拒绝。
允许的操作
默认勾选下载、查看对象信息和列举对象。按任务另外选择上传、删除或分片操作。
| 用途 | 需要的操作 |
|---|---|
| 查看与下载对象 | 下载对象、查看对象信息 |
| 列目录、统计或递归处理 | 列举对象，以及任务涉及的对象操作 |
| 上传文件 | 上传对象 |
| 大文件上传、续传及失败清理 | 开始分片上传、上传分片、完成分片上传、取消分片上传、列举已上传分片、列举未完成的上传 |
| 删除对象 | 删除对象；批量删除另选批量删除对象 |
RAM 权限也须允许对应操作。不支持的操作：云端复制、Bucket 创建或删除、ACL/Policy 修改、追加上传、解冻和指定历史版本。ZAI 也无法用这份凭证生成可用的预签名分享链接（presign）。
在沙箱中使用
ZAI 在沙箱里使用预装的 ossutil，按本页配置的 Region、Bucket、对象前缀和允许的操作访问；不需要、也不应在沙箱里填写真实密钥。
验证
保存后请 ZAI 列举一个已授权的对象前缀（如 reports/），确认凭证可用；只授权部分前缀时不要列举 Bucket 根目录，见对象范围。遇到访问被拒时，核对连接器的使用范围、对象前缀、操作勾选、凭证有效期和 RAM 权限；签名错误还需核对 Region 与服务地址。其余排查见验证与排错。