Object Storage Service:Kebijakan Kontrol

Mekanisme autentikasi

Kebijakan Kontrol menetapkan batasan izin tetapi tidak memberikan izin secara langsung. Ketika Pengguna RAM atau Peran RAM di akun anggota mencoba mengakses layanan cloud seperti OSS, sistem terlebih dahulu memeriksa kepatuhan terhadap Kebijakan Kontrol. Jika permintaan lolos pemeriksaan ini, sistem kemudian mengevaluasi kebijakan izin RAM akun tersebut.

Prinsip evaluasi

Evaluasi Kebijakan Kontrol dimulai dari akun yang memiliki sumber daya yang diminta dan berlanjut ke atas hirarki Direktori Sumber Daya. Di setiap tingkat, evaluasi mengikuti prinsip penolakan eksplisit didahulukan:

1. Penolakan eksplisit didahulukan: Jika aturan Deny cocok dengan permintaan, permintaan tersebut langsung ditolak. Proses evaluasi Kebijakan Kontrol berakhir, dan sistem tidak mengevaluasi kebijakan izin RAM akun tersebut.

2. Cari izin eksplisit: Jika tidak ada aturan Deny yang cocok di suatu tingkat, sistem mencari aturan Allow yang sesuai. Jika ditemukan aturan Allow, evaluasi di tingkat tersebut lolos, dan proses berlanjut ke node induk hingga mencapai folder root. Jika evaluasi juga lolos di folder root, seluruh pemeriksaan Kebijakan Kontrol berhasil. Sistem kemudian mengevaluasi kebijakan izin RAM akun tersebut.

3. Tolak secara default: Jika tidak ditemukan aturan Deny maupun Allow yang cocok, permintaan ditolak secara default. Proses evaluasi berakhir dan tidak dilanjutkan ke tingkat berikutnya atau mengevaluasi kebijakan izin RAM akun tersebut.

Alibaba Cloud mengevaluasi kebijakan yang dilampirkan pada akun yang diakses serta semua leluhurnya dalam hirarki tersebut. Hal ini memastikan bahwa Kebijakan Kontrol yang dilampirkan pada tingkat lebih tinggi diberlakukan pada semua akun di bawahnya. Untuk informasi lebih lanjut, lihat Ikhtisar Kebijakan Kontrol.

Jenis kebijakan

• Kebijakan Kontrol Sistem: Kebijakan bawaan yang dapat Anda lihat tetapi tidak dapat diubah. Setelah Anda mengaktifkan fitur Kebijakan Kontrol, kebijakan FullAliyunAccess dilampirkan secara default, yang mengizinkan semua operasi.

• Kebijakan Kontrol Kustom: Kebijakan yang Anda buat dan kelola sendiri. Anda dapat melampirkannya ke folder atau anggota.

Cakupan

Kebijakan Kontrol berlaku untuk semua Pengguna RAM dan Peran RAM di akun anggota dalam Direktori Sumber Daya. Kebijakan ini tidak berlaku untuk Peran Terkait Layanan (Service-Linked Roles), pengguna root akun anggota, atau identitas apa pun dalam akun manajemen.

Langkah 1: Aktifkan fitur Kebijakan Kontrol

Anda hanya perlu melakukan tindakan ini sekali. Jika fitur sudah diaktifkan, lewati langkah ini.

1. Buka halaman Direktori Sumber Daya - Aktifkan Kebijakan Kontrol.

2. Klik Enable Control Policy dan konfirmasi pilihan Anda.

3. Klik Refresh untuk memeriksa status.

Langkah 2: Buat Kebijakan Kontrol kustom

1. Buka halaman Direktori Sumber Daya - Buat Kebijakan Kontrol.

2. Pilih metode konfigurasi sesuai kebutuhan.

   Contoh berikut menunjukkan cara membuat kebijakan yang menerapkan blokir akses publik. Untuk contoh konfigurasi lainnya, lihat Skema Otorisasi Umum.

   Penting

   Sebelum mengonfigurasi kebijakan deny, pastikan semua sumber daya yang ada di akun anggota sudah memenuhi kebijakan tersebut. Saat menerapkan blokir akses publik untuk OSS, Anda harus terlebih dahulu memastikan bahwa blokir akses publik telah diaktifkan untuk semua bucket yang ada.

   Visual editor

   Pada bagian Visual editor, konfigurasikan pengaturan berikut:

   • Effects: Pilih Deny.

   • Service: Pilih OSS.

   • Actions: Pilih oss:DeleteBucketPublicAccessBlock dan oss:PutBucketPublicAccessBlock.

   Policy editor

   Pada bagian Policy editor, masukkan konfigurasi kebijakan berikut:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [
           "oss:DeleteBucketPublicAccessBlock",
           "oss:PutBucketPublicAccessBlock"
         ],
         "Resource": "*"
       }
     ]
   }

   Catatan

   Kebijakan Kontrol menggunakan format JSON dan berisi dua bidang inti: Version dan Statement. Statement terdiri dari elemen Effect, Action, Resource, dan Condition. Untuk detail tentang cara mengonfigurasi Action, lihat Action.

3. Klik OK.

4. Pada kotak dialog Create Control Policy, masukkan nama dan deskripsi, lalu klik OK.

Langkah 3: Lampirkan Kebijakan Kontrol ke folder

1. Buka halaman Direktori Sumber Daya - Manajemen Direktori.

2. Pada pohon direktori sumber daya, klik folder target.

3. Pada tab Policy, klik Attach Policy.

4. Pada panel Attach Policy, pilih Kebijakan Kontrol yang ingin Anda lampirkan, lalu klik OK.

Langkah 4: Verifikasi kebijakan

Setelah kebijakan dilampirkan, semua akun anggota dalam folder tersebut tunduk pada batasannya. Untuk memverifikasi efek kebijakan yang menerapkan blokir akses publik, lakukan pemeriksaan berikut:

1. Verifikasi aksi penolakan: Di akun anggota, coba nonaktifkan blokir akses publik untuk bucket yang ada. Kebijakan Kontrol seharusnya menolak operasi tersebut.

2. Verifikasi pembatasan pembuatan: Coba buat bucket baru tanpa mengaktifkan blokir akses publik. Sistem seharusnya menolak permintaan pembuatan tersebut.

3. Verifikasi penerapan hierarkis: Lakukan operasi yang sama di akun anggota pada tingkat hirarki berbeda untuk memastikan kebijakan berlaku di seluruh folder tersebut.

Skema 1: Terapkan blokir akses publik untuk Bucket OSS

Konfigurasikan Kebijakan Kontrol untuk menerapkan blokir akses publik untuk Bucket OSS dengan mencegah pengguna menonaktifkan fitur tersebut atau membuat bucket baru tanpa fitur tersebut. Contoh berikut menunjukkan konfigurasi kebijakan:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "oss:DeleteBucketPublicAccessBlock",
        "oss:PutBucketPublicAccessBlock"
      ],
      "Resource": "*"
    }
  ]
}