Virtual Private Cloud：Akses layanan Alibaba Cloud dari VPC melalui jaringan pribadi

Buat gateway endpoint dan konfigurasikan kebijakan

VPC tempat Anda membuat gateway endpoint, bucket yang diotorisasi, dan pengguna yang mengakses OSS dari VPC dapat berasal dari akun Alibaba Cloud yang berbeda.

Gateway endpoint hanya didukung di beberapa wilayah.

1. Buat gateway endpoint dan konfigurasikan kebijakan titik akhir.

   1. Di Konsol VPC - Gateway Endpoint, klik Create Endpoint.

   2. Pilih wilayah, masukkan nama titik akhir, lalu atur tipe titik akhir menjadi Gateway Endpoint.

   3. Untuk Endpoint Service, pilih Alibaba Cloud Services dan pilih OSS.

   4. Pilih VPC dan pilih tabel rute.

      Setelah dibuat, sistem akan menambahkan rute kustom pada tabel rute tersebut yang mengarah ke daftar awalan sistem yang berisi OSS regional VIP CIDR. Lompatan berikutnya adalah gateway endpoint.

   5. Konfigurasikan kebijakan titik akhir. Sintaksnya sama dengan bahasa kebijakan izin Resource Access Management (RAM).

      Contoh kebijakan

      Kebijakan contoh berikut hanya mengizinkan pengguna dengan ID Akun 1746xxxxxx untuk melakukan operasi OSS pada bucket bernama examplebucket dari VPC.

      {
        "Version": "1",
        "Statement":
          [
            {
              "Effect": "Allow",
              "Action": "oss:*",
              "Resource": ["acs:oss:*:*:examplebucket",
                           "acs:oss:*:*:examplebucket/*"],
              "Principal": ["1746xxxxxx"]
            }
          ]
      }

   6. Setelah titik akhir dibuat, Anda dapat menemukan entri rute yang ditambahkan sistem di entri rute kustom pada tabel rute terkait. Lompatan berikutnya adalah gateway endpoint.

2. Konfigurasikan kebijakan bucket untuk OSS.

   1. Buka Konsol OSS - Buckets dan klik nama bucket target.

   2. Di panel navigasi kiri, pilih Permission Control > Bucket Policy, klik Add by Syntax, lalu klik Edit.

   3. Konfigurasikan kebijakan bucket. Sintaksnya sama dengan bahasa kebijakan akses RAM.

      Contoh

      Kebijakan contoh memiliki efek berikut:

      1. Kebijakan 1: Menolak semua akun mengakses bucket examplebucket dan melakukan operasi OSS dari VPC mana pun selain VPC dengan ID vpc-bp******.

         Untuk daftar tindakan OSS, lihat RAM Policy. Jangan mengatur Action menjadi * dalam kebijakan Deny. Jika tidak, pemilik bucket tidak dapat mengakses bucket tersebut di Konsol OSS.

      2. Kebijakan 2: Hanya mengizinkan ID akun 1746xxxxxx untuk mengakses bucket examplebucket dan melakukan operasi OSS dari VPC dengan ID vpc-bp******.

      {
        "Version": "1",
        "Statement":
          [
            {
              "Effect": "Deny",
              "Action": ["oss:ListObjects","oss:GetObject","oss:PutObject","oss:DeleteObject"],
              "Resource": ["acs:oss:*:*:examplebucket",
                           "acs:oss:*:*:examplebucket/*"],
              "Principal": ["*"],
      	"Condition": {
      	  "StringNotEquals": {
                  "acs:SourceVpc": [
      	      "vpc-bp******"
      	    ]
      	  }
      	}
            },{
              "Effect": "Allow",
              "Action": ["oss:*"],
              "Resource": ["acs:oss:*:*:examplebucket",
                           "acs:oss:*:*:examplebucket/*"],
              "Principal": ["1746xxxxxx"],
      	"Condition": {
      	  "StringEquals": {
                  "acs:SourceVpc": [
      	      "vpc-bp******"
      	    ]
      	  }
      	}
            }
          ]
      }

   4. Setelah mengonfigurasi kebijakan, klik Save.

3. Verifikasi kebijakan akses.

   Catatan: Jika pengguna RAM mengakses OSS, Anda harus memberikan izin kepada pengguna RAM tersebut untuk melakukan operasi pada bucket OSS yang ditentukan. Jika tidak, permintaan akses akan gagal.

   1. Saat Anda menggunakan akun yang diotorisasi untuk mengakses bucket yang diotorisasi dari VPC yang diotorisasi, permintaan akses berhasil.

   2. Jika akun, VPC, atau bucket tidak diotorisasi, permintaan akses gagal.

Ubah kebijakan

Anda dapat mengubah kebijakan untuk menyesuaikan cakupan VPC, bucket, atau akun yang diotorisasi.

• Untuk mengubah VPC mana yang diizinkan mengakses bucket, buka halaman Konsol OSS - Buckets dan klik nama bucket. Di panel navigasi kiri, pilih Permission Control > Bucket Policy. Ubah bidang Condition dalam kebijakan untuk menambah atau menghapus VPC.

• Untuk mengubah cakupan bucket yang diotorisasi:

  1. Buka halaman Konsol VPC - Gateway Endpoint dan klik ID gateway endpoint tujuan. Pada tab Endpoint Policy, ubah bidang Resource dalam kebijakan otorisasi untuk mengontrol bucket mana yang dapat diakses oleh VPC.

  2. Buka halaman Konsol OSS - Buckets dan klik nama bucket target. Di panel navigasi kiri, pilih Permission Control > Bucket Policy. Ubah bidang Resource dalam kebijakan otorisasi yang ada untuk menambah atau menghapus sumber daya bucket. Jika melibatkan beberapa bucket, Anda harus melakukan operasi ini untuk setiap bucket.

• Untuk mengubah cakupan akun yang diotorisasi:

  Catatan: Jika pengguna RAM mengakses OSS, Anda harus memberikan izin yang diperlukan kepada pengguna RAM tersebut untuk melakukan operasi pada bucket OSS. Jika tidak, permintaan akses akan gagal.

  1. Buka halaman Konsol VPC - Gateway Endpoint dan klik ID gateway endpoint target. Pada tab Endpoint Policy, ubah bidang Principal dalam kebijakan untuk menambah atau menghapus akun yang diizinkan mengakses Bucket dari VPC.

  2. Buka Konsol OSS - Buckets dan klik nama bucket tujuan. Di panel navigasi kiri, pilih Permission Control > Bucket Policy. Ubah bidang Principal dalam kebijakan otorisasi yang ada untuk menambah atau menghapus akun yang dapat mengakses bucket dari VPC. Jika Anda mengonfigurasi beberapa bucket, Anda harus mengulangi operasi ini untuk setiap bucket.

Asosiasikan atau pisahkan tabel rute

Anda dapat mengasosiasikan gateway endpoint dengan tabel rute atau memisahkannya dari tabel rute untuk mengontrol vSwitch mana di VPC yang dapat mengakses layanan Alibaba Cloud melalui gateway endpoint tersebut.

1. Buka halaman Konsol VPC - Gateway Endpoint, lalu klik ID instans gateway endpoint target.

2. Pada tab Associated Route Tables:

   1. Untuk mengasosiasikan tabel rute baru, klik Associate with Route Table. Sistem secara otomatis menambahkan rute ke entri rute kustomnya dengan lompatan berikutnya adalah gateway endpoint.

   2. Untuk memisahkan tabel rute, klik Disassociate di sebelah kanan tabel rute. Saat tabel rute dipisahkan, sistem secara otomatis menghapus rute sistem yang sesuai.

Hapus gateway endpoint

Sebelum menghapus gateway endpoint, Anda harus memisahkan semua tabel rute.

1. Pisahkan semua tabel rute.

2. Buka Konsol VPC - Gateway Endpoint di Konsol VPC, temukan instans gateway endpoint target, lalu klik Delete.

3. (Opsional) Kebijakan bucket tetap berlaku dan dapat mencegah VPC lain mengakses bucket tersebut. Untuk mengubah kebijakan, buka Konsol OSS - Buckets, klik nama bucket target. Di panel navigasi kiri, pilih Permission Control > Bucket Policy untuk mengubah atau menghapus kebijakan yang membatasi akses ke VPC.