Object Storage Service:バケットポリシー

シナリオ 1：特定の RAM ユーザーへの読み取り／書き込み権限の付与

チームメンバーまたはパートナーに対して、バケットポリシーを使用して読み取り／書き込み権限を付与できます。この例では、UID が 27737962156157xxxx および 20214760404935xxxx の RAM ユーザーに対して、example-bucket バケットへの読み取り／書き込みアクセスを許可します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Allow",
            "Action":[
                "oss:GetObject",
                "oss:PutObject",
                "oss:GetObjectAcl",
                "oss:PutObjectAcl",
                "oss:AbortMultipartUpload",
                "oss:ListParts",
                "oss:RestoreObject",
                "oss:GetVodPlaylist",
                "oss:PostVodPlaylist",
                "oss:PublishRtmpStream",
                "oss:ListObjectVersions",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl",
                "oss:RestoreObjectVersion"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ]
        },
        {
            "Effect":"Allow",
            "Action":[
                "oss:ListObjects"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "*"
                    ]
                }
            }
        }
    ]
}

シナリオ 2：特定の RAM ユーザーに対する特定ディレクトリの読み取り専用権限の付与

プロジェクトファイルを改ざんから保護しつつ、承認済みユーザーによる読み取りを許可できます。この例では、RAM ユーザー 20214760404935xxxx に対して、example-bucket バケットの読み取り専用アクセスを許可します。アクセス範囲は、プレフィックス hangzhou/2020 および shanghai/2015 を持つディレクトリに限定されます。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:GetObject",
                "oss:GetObjectAcl",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/hangzhou/2020/*",
                "acs:oss:*:174649585760xxxx:example-bucket/shanghai/2015/*"
            ]
        },
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "hangzhou/2020/*",
                        "shanghai/2015/*"
                    ]
                }
            },
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 3：特定の RAM ユーザーに対するバケット内容一覧表示権限の付与

チームメンバーまたはパートナーに対して、すべてのバケット情報を表示およびバケットの内容を一覧表示することを許可できます。この例では、RAM ユーザーに対して、すべてのバケット情報を表示および example-bucket バケットの内容を一覧表示する権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 4：特定の RAM ロールへの読み取り専用アクセスの付与

RAM ユーザーまたはアプリケーションに対して、バケットオブジェクトへの一時的なアクセスを許可できます。これを行うには、RAM ロールを作成し、権限を割り当てます。その後、ユーザーまたはアプリケーションはそのロールを偽装（assume）して、オブジェクトの読み取りに必要な一時的な資格情報を取得できます。この例では、1 つの RAM ロールのすべてのセッションおよび別の RAM ロールの特定のセッションに対して、example-bucket バケット内のすべてのオブジェクトへの読み取りアクセスを許可します。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:GetObject"
            ],
            "Effect": "Allow",
            "Principal": [
                "arn:sts::10323xxxxx72056:assumed-role/role-name/session-name",
                "arn:sts::10323xxxxx72056:assumed-role/role2-name/*"
            ],
            "Resource": [
                "acs:oss:*:10323xxxxx72056:example-bucket/*"
            ]
        }
    ]
}

シナリオ 5：すべてのユーザーへの一覧表示権限の付与

バケットがパブリックなリソース共有に使用される場合、ファイルの内容にアクセスせずにファイル名を一覧表示できるように、すべての訪問者を許可したいことがあります。この目的には、プリンシパルをワイルドカードのアスタリスク（*）に設定し、すべてのファイルを一覧表示する権限を付与します。以下の例では、example-bucket バケット内のすべてのファイルを一覧表示する権限をすべての訪問者に付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 6：パブリックネットワークからのアクセスを制限

バケットへのパブリックネットワーク（インターネット）からのすべてのアクセスをブロックできます。これを行うには、acs:SourceVpc 条件を使用して、VPC 以外からのリクエストを拒否する Deny ステートメントを作成します。インターネットからのリクエストは VPC プレフィックスを持たないため失敗します。この例では、VPC ネットワークからのアクセスを除き、example-bucket バケットへのすべてのアクセスを拒否します。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "oss:*",
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*",
        "acs:oss:*:174649585760xxxx:example-bucket"
      ],
      "Condition": {
        "StringNotLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

シナリオ 7：特定の VPC からのみのアクセスを許可

単一の VPC へのバケットアクセスを制限できます。これを行うには、acs:SourceVpc 条件を使用して、他の VPC やインターネットからのリクエストをブロックする拒否ステートメントを作成します。他の VPC やインターネットからのリクエストは、指定された VPC ID と一致しないため失敗します。この例では、VPC t4nlw426y44rd3iq4xxxx 内のユーザーを除き、すべてのユーザーに対して example-bucket バケット内のオブジェクトへの読み取りアクセスを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

シナリオ 8：特定のパブリック IP アドレスからのみのアクセスを許可

バケットへのアクセスを単一のパブリック IP アドレスに制限できます。これを行うには、acs:SourceIp 条件を使用して、他の IP アドレスからのリクエストをブロックする Deny ステートメントを作成します。他の IP アドレスからのリクエストは、指定された IP アドレスと一致しないため失敗します。この例では、IP アドレス 203.0.113.5 を持つユーザーを除き、example-bucket バケットへの読み取りアクセスをすべてのユーザーに対して拒否します。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": [
      "oss:GetObject"
    ],
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*"
    ],
    "Condition": {
      "NotIpAddress": {
        "acs:SourceIp": [
          "203.0.113.5"
        ]
      },
      "StringNotLike": {
        "acs:SourceVpc": [
          "vpc-*"
        ]
      }
    }
  },
    {
      "Effect": "Deny",
      "Action": [
        "oss:GetObject"
      ],
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*"
      ],
      "Condition": {
        "StringLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

シナリオ 9：特定の VPC 内の特定 IP 範囲からのみのアクセスを許可

バケットへのアクセスを、特定の VPC 内の特定 IP 範囲に制限できます。これを行うには、2 つの Deny ステートメントを作成します：

• acs:SourceVpc 条件キーを使用して、他の VPC またはインターネットからのリクエストをブロックする Deny ポリシーステートメントを作成します。他のパブリック IP アドレスまたは VPC からのリクエストは、指定された IP 条件を満たさないため、Deny ルールがトリガーされます。

• acs:SourceIp および acs:SourceVpc 条件を使用して、VPC 内の指定 IP 範囲外からのリクエストをブロックします。

いずれかの Deny ステートメントが満たされた場合、拒否がトリガーされます。この例では、VPC t4nlw426y44rd3iq4xxxx 内で 192.168.0.0/16 範囲の IP アドレスを持つユーザーを除き、example-bucket バケット内のオブジェクトへの読み取りアクセスをすべてのユーザーに対して拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "192.168.0.0/16"
                    ]
                }
            }
        }
    ]
}

シナリオ 10：特定のパブリック IP アドレスまたは特定の VPC からのみのアクセスを許可

バケットへのアクセスを、特定のパブリック IP アドレスまたは特定の VPC のいずれかに制限できます。これを行うには、2 つの Deny ステートメントを作成します：

• acs:SourceIp 条件を使用して他のパブリック IP からのリクエストをブロックし、StringNotLike と acs:SourceVpc を使用して指定された VPC を除外します。

• acs:SourceVpc 条件を使用して他の VPC からのリクエストをブロックし、StringLike と acs:SourceVpc を使用して指定されたパブリック IP アドレスを除外します。これにより、VPC ID の欠落による誤った拒否を回避できます。

いずれかの Deny ステートメントが満たされた場合、拒否がトリガーされます。この例では、IP アドレス 203.0.113.5 を持つユーザーまたは VPC ID t4nlw426y44rd3iq4xxxx を持つユーザーを除き、example-bucket バケット内のオブジェクトへの読み取りアクセスをすべてのユーザーに対して拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "203.0.113.5"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

シナリオ 11：IP ブラックリストの設定

特定の IP アドレスまたは IP アドレス範囲からバケットおよびそのオブジェクトへのアクセスをブロックできます。これを行うには、バケットポリシー内に Deny ポリシーを使用して、指定された IP アドレスからのすべてのリクエストを拒否します。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": "oss:*",
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*",
      "acs:oss:*:174649585760xxxx:example-bucket"
    ],
    "Condition": {
      "IpAddress": {
        "acs:SourceIp": [
          "101.***.***.100"
        ]
      },
      "StringLike": {
        "acs:SourceVpc": [
          "*"
        ]
      }
    }
  }]
}

シナリオ 12：API 呼び出し時に一時的な資格情報の使用を必須化

API アクセス時に一時的な資格情報の使用を必須化できます。これを行うには、acs:AccessId 条件を使用して、Alibaba Cloud アカウントまたは RAM ユーザーからの長期的な資格情報をブロックする Deny ステートメントを作成します。長期的な資格情報を使用したリクエストは Deny ルールをトリガーします。この例では、example-bucket バケットに対するすべての Get および List 操作を、`TMP.` または `STS.` で始まる一時的な資格情報を使用するユーザーを除き、すべてのユーザーに対して拒否します。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition": {
                "StringNotLike": {
                    "acs:AccessId": [
                        "TMP.*",
                        "STS.*"
                 ]
                }
            }
        }
    ]
}

シナリオ 13：バケットおよびオブジェクトのパブリック ACL 設定を防止

バケットおよびオブジェクトの公開読み取り（public-read）または公開読み書き（public-read-write）のアクセス制御リスト（ACL）設定を防止できます。これを行うには、2 つの Deny ステートメントを作成します：

• oss:x-oss-acl 条件を使用して、private 以外のバケット ACL 設定をブロックします。ACL を public-read または public-read-write に設定しようとした場合、Deny ルールがトリガーされます。

• oss:x-oss-object-acl 条件を使用して、private または default 以外のオブジェクト ACL 設定をブロックします。

いずれかの Deny ステートメントが満たされた場合、拒否がトリガーされます。この例では、example-bucket バケットのパブリック ACL 設定を拒否します。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutBucketAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-acl": "private"
                }
            }
        },
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutObjectAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-object-acl": [
                        "private",
                        "default"
                    ]
                }
            }
        }
    ]
}