本トピックでは、STS の一時的なセキュリティトークンを使用して、プライベート OSS バケットへのクロスアカウントによるオリジンフェッチを有効にする方法について説明します。STS 方式は、複雑な設定を必要とするアクセスキーなどの永続的なセキュリティトークンに代わる、より柔軟で安全な代替手段です。この方法により、権限管理が簡素化され、リソースアクセスのセキュリティが向上します。
デフォルトでは、ESA は、同一の Alibaba Cloud アカウント内にあるプライベート OSS バケットへのオリジンリクエストにのみ、STS を使用できます。STS を使用してプライベート OSS バケットへのクロスアカウントによるオリジンリクエストを有効にするには、OSS でバケットポリシーを手動で追加する必要があります。ポリシーを設定するには、次の手順に従ってください：
-
プライベート OSS バケットを所有する Alibaba Cloud アカウントにログインし、OSS コンソールに移動します。
-
バケット > 対象のバケット > 権限管理 > バケット承認ポリシー の順に選択します。権限管理 セクションのバケット承認ポリシー タブで、新規権限 をクリックします。
-
ユーザー では、[他のアカウント] を選択し、ESA が存在する Alibaba Cloud アカウントの Alibaba Cloud アカウント ID または RAM ユーザー ARN を入力します。 RAM ユーザー ARN の形式は
acs:sts::<uid>:*です。ここで、<uid>は Alibaba Cloud アカウントの アカウント ID です。 許可された操作 では、[基本設定] > 読み取り専用 (ListObject を除く) を選択し、その後 OK をクリックします。 -
権限を付与した後、バケット承認ポリシー タブで承認の詳細を確認できます。