Object Storage Service：Kontrol akses ke OSS menggunakan kebijakan RAM

Model penyimpanan OSS

OSS menggunakan model penyimpanan flat yang menyimpan objek sebagai pasangan kunci-nilai secara langsung di dalam bucket. Tidak ada hierarki direktori fisik. Folder yang Anda lihat di Konsol disimulasikan menggunakan awalan kunci objek dan pemisah (/), sehingga memungkinkan pengelompokan, klasifikasi, dan pengelolaan objek.

Untuk bucket examplebucket, struktur folder dan kunci objek yang sesuai ditampilkan di Konsol sebagai berikut:

examplebucket
├── Development/                     # Key: Development/ (folder object)
│   ├── Alibaba Cloud.pdf            # Key: Development/Alibaba Cloud.pdf
│   ├── ProjectA.docx                # Key: Development/ProjectA.docx
│   └── ProjectB.docx                # Key: Development/ProjectB.docx
├── Marketing/                       # Key: Marketing/ (folder object)
│   ├── data2020.xlsx                # Key: Marketing/data2020.xlsx
│   └── data2021.xlsx                # Key: Marketing/data2021.xlsx
├── Private/                         # Key: Private/ (folder object)
│   └── 2017/                        # Key: Private/2017/ (folder object)
│       ├── images.zip               # Key: Private/2017/images.zip
│       └── promote.pptx             # Key: Private/2017/promote.pptx
└── oss-dg.pdf                       # Key: oss-dg.pdf

Kunci objek folder diakhiri dengan /. OSS menggunakan karakter ini sebagai penanda untuk mengidentifikasi objek tersebut sebagai folder. Namun, semua objek—termasuk objek folder—disimpan dalam struktur flat.

Karena OSS tidak memiliki hierarki direktori nyata, pemberian akses ke suatu folder sebenarnya berarti memberikan akses ke semua objek yang memiliki awalan tertentu. Misalnya, memberikan akses ke folder Development/ setara dengan memberikan akses ke semua objek yang kuncinya dimulai dengan Development/.

Perbedaan permintaan untuk bucket, folder, dan file

Operasi pada target berbeda—seperti bucket, folder, dan file—berkorespondensi dengan permintaan API dan konfigurasi Resource yang berbeda. Pemahaman perbedaan ini penting untuk mengonfigurasi kebijakan akses secara tepat.

GET /?prefix=Development/&delimiter=/ HTTP/1.1
Host: examplebucket.oss-cn-hangzhou.aliyuncs.com

Perbedaan antara akses melalui Konsol dan API/SDK

Mengakses OSS melalui Konsol memerlukan lebih banyak izin dibandingkan akses langsung menggunakan API atau SDK karena pengguna perlu menavigasi dari daftar bucket hingga ke folder target.

Pendekatan desain kebijakan

Untuk memberikan akses baca dan tulis ke folder Development/, Anda perlu memberikan dua jenis izin:

1. Izin daftar: Mengizinkan pengguna untuk mendaftar objek di folder Development/ (oss:ListObjects). Sebuah Condition membatasi daftar hanya pada objek yang dimulai dengan awalan Development.

2. Izin baca dan tulis: Memberikan izin untuk membaca (oss:GetObject) dan mengunggah (oss:PutObject) file di folder Development/. Elemen Resource mengarah ke examplebucket/Development/*.

Buat dan berikan kebijakan

1. Buka halaman Kebijakan RAM dan klik Create Policy.

2. Pilih tab Script Editor dan masukkan konten kebijakan berikut:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "oss:ListObjects",
         "Resource": "acs:oss:*:*:examplebucket",
         "Condition": {
           "StringLike": {
             "oss:Prefix": [
               "Development",
               "Development/*"
             ]
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "oss:GetObject",
           "oss:PutObject",
           "oss:GetObjectAcl"
         ],
         "Resource": "acs:oss:*:*:examplebucket/Development/*"
       }
     ]
   }

   Analisis kebijakan:

   • Pernyataan Pertama: Memberikan izin daftar pada bucket. Condition dengan oss:Prefix membatasi daftar hanya pada konten di dalam folder Development dan subfoldernya.

   • Pernyataan Kedua: Memberikan izin baca dan tulis. Resource mengarah ke semua objek di path Development/*.

3. Klik OK. Masukkan Policy Name, misalnya AllowAnneAccessDevelopment, lalu klik OK untuk membuat kebijakan.

4. Buka halaman Daftar Pengguna. Temukan RAM user Anne, klik Add Permissions, lalu pilih kebijakan yang baru saja Anda buat.

Buat kelompok pengguna dan tambahkan anggota

1. Buka halaman Kelompok Pengguna RAM dan klik Create User Group. Misalnya, beri nama DenyPrivateAccessGroup.

2. Klik Add Members dan tambahkan RAM user yang harus ditolak aksesnya ke folder Private/ ke dalam kelompok pengguna tersebut.

Buat dan berikan kebijakan deny

1. Buka halaman Kebijakan RAM dan klik Create Policy.

2. Pilih tab Script Editor dan masukkan konten kebijakan berikut:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": "oss:*",
         "Resource": "acs:oss:*:*:examplebucket/Private/*"
       },
       {
         "Effect": "Deny",
         "Action": "oss:ListObjects",
         "Resource": "acs:oss:*:*:examplebucket",
         "Condition": {
           "StringLike": {
             "oss:Prefix": [
               "Private/",
               "Private/*"
             ]
           }
         }
       }
     ]
   }

   Analisis kebijakan:

   • Pernyataan Pertama: Menolak semua operasi pada objek apa pun di bawah path Private/.

   • Pernyataan Kedua: Menolak pencantuman isi folder Private/ untuk mencegah pengguna melihat daftar file.

3. Klik OK. Masukkan Policy Name, misalnya DenyAccessPrivateFolder, lalu klik OK untuk membuat kebijakan.

4. Buka halaman Kelompok Pengguna RAM. Pada kelompok pengguna tersebut, klik Add Permissions dan pilih kebijakan yang baru saja Anda buat.

Ketika RAM user dalam kelompok tersebut mencoba mengakses folder Private/, OSS akan mengembalikan error permission denied, baik saat mencoba melihat daftar maupun mengunduh file.