Virtual Private Cloud:Accès privé VPC aux services Alibaba Cloud

Créer un point de terminaison de passerelle et configurer une politique

Le VPC du point de terminaison de passerelle, le compartiment autorisé et l'utilisateur accédant au service peuvent appartenir à différents comptes Alibaba Cloud.

Les points de terminaison de passerelle sont pris en charge uniquement dans certaines régions.

1. Créez un point de terminaison de passerelle et configurez une politique de point de terminaison.

   1. Accédez à la page Console VPC - Point de terminaison de passerelle et cliquez sur Create Endpoint.

   2. Sélectionnez une région et spécifiez un nom pour le point de terminaison. Conservez le type de point de terminaison défini sur Gateway Endpoint.

   3. Pour Type, sélectionnez Alibaba Cloud Service, puis sélectionnez le service de point de terminaison pour Object Storage Service (OSS).

   4. Sélectionnez un VPC et une table de routage.

      Une fois le point de terminaison de passerelle créé, le système ajoute une entrée de route personnalisée à la table de routage sélectionnée. La destination est une liste de préfixes système contenant les plages CIDR VIP d'OSS dans la région, et le saut suivant est le point de terminaison de passerelle.

   5. Configurez une politique de point de terminaison. La syntaxe est identique à celle du langage des politiques d'autorisation de Resource Access Management (RAM).

      Exemple de politique

      L'exemple suivant autorise uniquement l'utilisateur dont l'ID de compte est 1746xxxxxx à effectuer des opérations liées à OSS sur le compartiment nommé examplebucket.

      {
        "Version": "1",
        "Statement":
          [
            {
              "Effect": "Allow",
              "Action": "oss:*",
              "Resource": ["acs:oss:*:*:examplebucket",
                           "acs:oss:*:*:examplebucket/*"],
              "Principal": ["1746xxxxxx"]
            }
          ]
      }

   6. Une fois le point de terminaison créé, vous trouverez une entrée de route ajoutée par le système dans les entrées de route personnalisées de la table de routage associée. Le saut suivant pointe vers le point de terminaison de passerelle.

2. Configurez une politique de compartiment pour OSS.

   1. Accédez à la page Console OSS - Compartiments et cliquez sur le nom du compartiment que vous souhaitez autoriser.

   2. Dans le volet de navigation de gauche, choisissez Permission Control > Bucket Policy. Cliquez sur Add by Syntax, puis sur Edit.

   3. Configurez une politique de compartiment. La syntaxe est identique à celle du langage des politiques d'autorisation de Resource Access Management (RAM).

      Exemple de politique

      Voici un exemple de politique :

      1. Politique 1 : refuse à tous les comptes l'exécution d'opérations liées à OSS sur le compartiment examplebucket depuis tout VPC autre que vpc-bp******.

         Nous vous recommandons de ne pas définir Action sur * dans une politique de refus (Deny), car cela empêcherait même le propriétaire du compartiment d'y accéder via la console OSS. Les actions OSS sont répertoriées dans la section Présentation des politiques RAM .

      2. Politique 2 : autorise uniquement l'utilisateur dont l'ID de compte est 1746xxxxxx à effectuer des opérations liées à OSS sur le compartiment examplebucket depuis le VPC dont l'ID est vpc-bp******.

      {
        "Version": "1",
        "Statement":
          [
            {
              "Effect": "Deny",
              "Action": ["oss:ListObjects","oss:GetObject","oss:PutObject","oss:DeleteObject"],
              "Resource": ["acs:oss:*:*:examplebucket",
                           "acs:oss:*:*:examplebucket/*"],
              "Principal": ["*"],
      	"Condition": {
      	  "StringNotEquals": {
                  "acs:SourceVpc": [
      	      "vpc-bp******"
      	    ]
      	  }
      	}
            },{
              "Effect": "Allow",
              "Action": ["oss:*"],
              "Resource": ["acs:oss:*:*:examplebucket",
                           "acs:oss:*:*:examplebucket/*"],
              "Principal": ["1746xxxxxx"],
      	"Condition": {
      	  "StringEquals": {
                  "acs:SourceVpc": [
      	      "vpc-bp******"
      	    ]
      	  }
      	}
            }
          ]
      }

   4. Une fois la politique configurée, cliquez sur Save.

3. Vérifiez la politique d'accès.

   Remarque : les utilisateurs RAM doivent disposer des autorisations nécessaires sur les compartiments OSS concernés. Sinon, l'accès peut échouer.

   1. L'accès depuis un compte autorisé à un compartiment autorisé au sein d'un VPC autorisé aboutit.

   2. L'accès échoue si le compte, le VPC ou le compartiment n'est pas autorisé.

Modifier une politique d'autorisation

Modifiez une politique d'autorisation pour ajuster les VPC, les compartiments ou les comptes autorisés.

• Pour ajuster les VPC autorisés : accédez à la page Console OSS - Compartiments, cliquez sur le nom du compartiment cible, puis choisissez Permission Control > Bucket Policy dans le volet de navigation de gauche. Modifiez le champ Condition de la politique existante pour ajouter ou supprimer les VPC pouvant accéder au compartiment.

• Pour ajuster les compartiments autorisés :

  1. Accédez à la page Console VPC - Point de terminaison de passerelle, cliquez sur l'ID de l'instance de point de terminaison de passerelle cible, puis sélectionnez l'onglet Endpoint Policy. Modifiez le champ Resource de la politique existante pour ajouter ou supprimer les compartiments auxquels le VPC peut accéder.

  2. Accédez à la page Console OSS - Compartiments, cliquez sur le nom du compartiment cible, puis choisissez Permission Control > Bucket Policy dans le volet de navigation de gauche. Modifiez le champ Resource de la politique existante pour ajouter ou supprimer les ressources de compartiment accessibles. Si plusieurs compartiments sont concernés, vous devez effectuer cette opération pour chacun d'eux.

• Pour ajuster les comptes autorisés :

  Remarque : les utilisateurs RAM doivent disposer des autorisations nécessaires sur les compartiments OSS concernés. Sinon, l'accès peut échouer.

  1. Accédez à la page Console VPC - Point de terminaison de passerelle, cliquez sur l'ID de l'instance de point de terminaison de passerelle cible, puis sélectionnez l'onglet Endpoint Policy. Modifiez le champ Principal de la politique existante pour ajouter ou supprimer les comptes pouvant accéder aux compartiments au sein du VPC.

  2. Accédez à la page Console OSS - Compartiments, cliquez sur le nom du compartiment cible, puis choisissez Permission Control > Bucket Policy dans le volet de navigation de gauche. Modifiez le champ Principal de la politique existante pour ajouter ou supprimer les comptes pouvant accéder aux compartiments au sein du VPC. Si plusieurs compartiments sont concernés, vous devez effectuer cette opération pour chacun d'eux.

Associer ou dissocier une table de routage

Associez ou dissociez des tables de routage pour contrôler quels vSwitches peuvent accéder aux services Alibaba Cloud via le point de terminaison de passerelle.

La politique de point de terminaison s'applique à tout le trafic vers OSS au sein du VPC, indépendamment de l'état d'association de la table de routage. La dissociation d'une table de routage supprime uniquement l'entrée de route et n'invalide pas la politique. Pour empêcher la politique de s'appliquer, modifiez ou supprimez la politique de point de terminaison.

1. Accédez à la page Console VPC - Point de terminaison de passerelle et cliquez sur l'ID de l'instance de point de terminaison de passerelle cible.

2. Dans l'onglet Associated Route Tables :

   1. Pour associer une nouvelle table de routage, cliquez sur Associate with Route Table. Une fois l'association effectuée, vous trouverez une entrée de route ajoutée par le système dont le saut suivant pointe vers le point de terminaison de passerelle dans les entrées de route personnalisées de la table de routage associée.

   2. Pour dissocier une table de routage existante, cliquez sur Disassociate à côté de la table de routage cible. Après la dissociation, l'entrée de route ajoutée par le système est automatiquement supprimée.

Supprimer un point de terminaison de passerelle

Pour supprimer un point de terminaison de passerelle, vous devez d'abord dissocier toutes les tables de routage associées.

1. Dissociez toutes les tables de routage associées.

2. Accédez à la page Console VPC - Point de terminaison de passerelle et cliquez sur Delete à droite de l'instance de point de terminaison de passerelle cible.

3. (Facultatif) Étant donné que la politique de compartiment reste active, les autres VPC sont toujours restreints dans l'accès au compartiment. Pour ajuster cela, accédez à la page Console OSS - Compartiments, cliquez sur le compartiment cible, puis choisissez Permission Control > Bucket Policy. Ajustez ou supprimez la politique qui autorise l'accès uniquement depuis le VPC spécifié.

provider "alicloud" {
  region = "cn-hangzhou"
}

resource "alicloud_vpc_gateway_endpoint" "default" {
  gateway_endpoint_name = "gateway-endpoint-name"        # The name of the gateway endpoint.
  service_name          = "com.aliyun.cn-hangzhou.oss"   # The name of the OSS service.
  vpc_id                = "vpc-bp******"                 # The ID of the VPC to which the gateway endpoint belongs.
  route_tables = ["vtb-bp******","vtb-bp******"]         # The IDs of the associated route tables.
  # The endpoint policy.
  policy_document       = <<EOF
   {
    "Version": "1",
    "Statement":
     [
       {
        "Effect": "Allow",
        "Action": "oss:*",
        "Resource": ["acs:oss:*:*:examplebucket","acs:oss:*:*:examplebucket/*"],
        "Principal": ["1746******"]
      }
    ]
  }
  EOF                                              
}

provider "alicloud" {
  region = "cn-hangzhou"
}

resource "alicloud_oss_bucket_policy" "default" {
  bucket = "examplebucket"  # The name of the bucket.
  
  policy = jsonencode({
    Version = "1"
    Statement = [
      {
        Effect = "Deny"
        Action = [
          "oss:ListObjects",
          "oss:GetObject",
          "oss:PutObject",
          "oss:DeleteObject"
        ]
        Principal = [
          "*"
        ]
        Resource = [
          "acs:oss:*:*:examplebucket",
          "acs:oss:*:*:examplebucket/*"
        ]
        Condition = {
          StringNotEquals = {
            "acs:SourceVpc" = [
              "vpc-bp******"  # Replace with your actual VPC ID.
            ]
          }
        }
      },{
        Effect = "Allow"
        Action = [
          "oss:*"
        ]
        Principal = [
          "1746xxxxxx"  # Replace with your actual Account ID.
        ]
        Resource = [
          "acs:oss:*:*:examplebucket",
          "acs:oss:*:*:examplebucket/*"
        ]
        Condition = {
          StringEquals = {
            "acs:SourceVpc" = [
              "vpc-bp******"  # Replace with your actual VPC ID.
            ]
          }
        }
      }
    ]
  })
}