Object Storage Service:Politique de contrôle

Mécanisme d'authentification

Une politique de contrôle définit les limites d'autorisation sans accorder de droits. Lorsqu'un utilisateur RAM ou un rôle d'un compte membre accède à un service cloud, le système vérifie d'abord la conformité à la politique de contrôle. Si la requête est validée, le système évalue ensuite les politiques d'autorisation RAM du compte.

Principes d'évaluation

L'évaluation commence au niveau du compte propriétaire de la ressource demandée et remonte la hiérarchie du Resource Directory. À chaque niveau, le refus explicite est prioritaire :

1. Le refus explicite est prioritaire : si une règle Deny correspond à la requête, celle-ci est immédiatement refusée. L'évaluation s'arrête sans vérifier la politique d'autorisation RAM du compte.

2. Recherche d'une autorisation explicite : si aucune règle Deny ne correspond à un niveau donné, le système recherche une règle Allow correspondante. S'il trouve une telle règle Allow, l'évaluation réussit à ce niveau et se poursuit jusqu'au dossier racine. Si le dossier racine valide également la requête, la vérification de la politique de contrôle aboutit et le système évalue la politique d'autorisation RAM du compte.

3. Refus par défaut : si ni une règle Deny ni une règle Allow ne correspondent, la requête est refusée par défaut. L'évaluation s'interrompt sans passer au niveau supérieur ni évaluer la politique d'autorisation RAM du compte.

Alibaba Cloud évalue les politiques associées au compte accédé ainsi qu'à tous ses ancêtres dans la hiérarchie, garantissant que les politiques de niveau supérieur s'appliquent à tous les comptes situés en dessous. Pour plus d'informations, consultez la Présentation des politiques de contrôle.

Types de politiques

• Politique de contrôle système : politique intégrée en lecture seule. Lorsque vous activez la politique de contrôle, la politique FullAliyunAccess est attachée par défaut, autorisant toutes les opérations.

• Politique de contrôle personnalisée : politique que vous créez et gérez. Attachez-la à un dossier ou à un membre.

Portée

Une politique de contrôle s'applique à tous les utilisateurs RAM et rôles des comptes membres au sein d'un Resource Directory. Elle ne s'applique pas aux rôles liés au service, à l'utilisateur racine d'un membre ni aux identités du compte de gestion.

Étape 1 : Activer la fonctionnalité de politique de contrôle

Il suffit d'activer cette fonctionnalité une seule fois. Ignorez cette étape si elle est déjà activée.

1. Accédez à la page Resource Directory - Activer la politique de contrôle.

2. Cliquez sur Enable Control Policy et confirmez votre choix.

3. Cliquez sur Refresh pour vérifier l'état.

Étape 2 : Créer une politique de contrôle personnalisée

1. Accédez à la page Resource Directory - Créer une politique de contrôle.

2. Choisissez une méthode de configuration.

   L'exemple suivant crée une politique qui impose le blocage de l'accès public. Pour d'autres exemples de configuration, consultez les Scénarios d'autorisation courants.

   Important

   Avant de configurer une politique de refus, assurez-vous que toutes les ressources existantes dans les comptes membres sont déjà conformes. Pour le blocage de l'accès public, vérifiez que l'option block public access est activée pour tous les compartiments existants.

   Éditeur visuel

   Dans la section Visual editor, configurez les paramètres suivants :

   • Effects : sélectionnez Deny.

   • Service : sélectionnez OSS.

   • Actions : sélectionnez oss:DeleteBucketPublicAccessBlock et oss:PutBucketPublicAccessBlock.

   Éditeur de politique

   Dans la section Policy editor, saisissez la configuration de politique suivante :

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [
           "oss:DeleteBucketPublicAccessBlock",
           "oss:PutBucketPublicAccessBlock"
         ],
         "Resource": "*"
       }
     ]
   }

   Remarque

   Une politique de contrôle est au format JSON et comprend deux champs principaux : Version et Statement. Un élément Statement contient les éléments Effect, Action, Resource et Condition. Pour savoir comment configurer une action, consultez la section Action.

3. Cliquez sur OK.

4. Dans la boîte de dialogue Create Control Policy, saisissez un nom et une description, puis cliquez sur OK.

Étape 3 : Attacher la politique de contrôle à un dossier

1. Accédez à la page Resource Directory - Gestion du répertoire.

2. Dans l'arborescence du répertoire de ressources, cliquez sur le dossier cible.

3. Sous l'onglet Policy, cliquez sur Attach Policy.

4. Dans le panneau Attach Policy, sélectionnez la politique de contrôle à attacher, puis cliquez sur OK.

Étape 4 : Vérifier la politique

Une fois la politique attachée, tous les comptes membres du dossier sont soumis à ses contraintes. Vérifiez la politique de blocage de l'accès public à l'aide des contrôles suivants :

1. Vérifiez l'action de refus : dans un compte membre, essayez de désactiver le blocage de l'accès public pour un compartiment existant. La politique de contrôle doit refuser l'opération.

2. Vérifiez les restrictions de création : essayez de créer un nouveau compartiment sans activer le blocage de l'accès public. Le système doit refuser la demande de création.

3. Vérifiez l'application hiérarchique : effectuez les mêmes opérations dans des comptes membres situés à différents niveaux de la hiérarchie afin de confirmer que la politique est effective dans l'ensemble du dossier.

Scénario 1 : Imposer le blocage de l'accès public pour les compartiments OSS

Cette politique impose le blocage de l'accès public pour les compartiments OSS en empêchant les utilisateurs de désactiver la fonctionnalité ou de créer des compartiments sans celle-ci :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "oss:DeleteBucketPublicAccessBlock",
        "oss:PutBucketPublicAccessBlock"
      ],
      "Resource": "*"
    }
  ]
}