Object Storage Service:パブリックアクセスのブロック

非パブリックアクセスの条件と例

• バケットポリシー内の文は、その Principal または Condition 要素が次のいずれかの条件を満たす場合、非パブリックと見なされます。

  説明

  • Action および Resource 要素は、アクセスがパブリックであるかどうかを判断するための条件としては使用されません。

  • バケットポリシーの Effect が Deny の場合、その文は非パブリックと見なされます。

  要素	フィールド	値
  Principal	N/A	1 つ以上の静的フィールドを指定します。値にアスタリスク (*) ワイルドカードを含めることはできません。
  Condition	acs:SourceVpcId	1 つ以上の静的フィールドを指定します。値にアスタリスク (*) ワイルドカードを含めることはできません。
  	acs:SourceVpc	1 つ以上の静的フィールドを指定します。値にアスタリスク (*) ワイルドカードを含めることはできません。
  	acs:AccessId	1 つ以上の静的フィールドを指定します。値にアスタリスク (*) ワイルドカードを含めることはできません。
  	acs:SourceVpcIp	IPv4 アドレスの場合、マスクは 8 以上である必要があります。 IPv6 アドレスの場合、マスクは 32 以上である必要があります。
  	acs:SourceIp	IPv4 アドレスの場合、マスクは 8 以上である必要があります。 IPv6 アドレスの場合、マスクは 32 以上である必要があります。

• 非パブリックアクセスの例

  {
      "Version":"1",
      "Statement":[
          {
              "Action":[
                  "oss:GetObject",
                  "oss:GetObjectAcl",
                  "oss:GetObjectVersion",
                  "oss:GetObjectVersionAcl"
              ],
              "Effect":"Allow",
              "Principal":[
                  "20214760404935xxxx"
              ],
              "Resource":[
                  "acs:oss:*:174649585760xxxx:examplebucket/hangzhou/2020/*",
                  "acs:oss:*:174649585760xxxx:examplebucket/shanghai/2015/*"
              ]
          },
          {
              "Action":[
                  "oss:ListObjects",
                  "oss:ListObjectVersions"
              ],
              "Condition":{
                  "StringLike":{
                      "oss:Prefix":[
                          "hangzhou/2020/*",
                          "shanghai/2015/*"
                      ]
                  }
              },
              "Effect":"Allow",
              "Principal":[
                  "20214760404935xxxx"
              ],
              "Resource":[
                  "acs:oss:*:174649585760xxxx:examplebucket"
              ]
          }
      ]
  }

パブリックアクセスの条件と例

バケットポリシーが非パブリックアクセスの条件を満たさない場合、パブリックアクセスを許可していると見なされます。以下にいくつかの例を示します。

• 例 1

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "oss:GetObject",
              "Principal": "*",
              "Resource": "acs:oss:*:17464958576xxxx:examplebucket/*"
          }
      ]
  }

• 例 2

  ポリシーにパブリックアクセス (すべての VPC からのアクセスを許可) と非パブリックアクセス (指定されたユーザーからのアクセスのみを許可) の両方を許可する文が含まれている場合でも、そのポリシーはパブリックアクセスを許可していると見なされます。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "oss:GetObject",
              "Principal": "*",
              "Resource": "acs:oss:*:17464958576xxxx:examplebucket/*",
              "Condition": {
                  "StringLike": {
                      "acs:SourceVpc": [
                          "vpc-*"
                          ]
                  }
              }
          },
        	{
              "Effect": "Allow",
              "Action": "oss:*",
              "Principal": "27464958576xxxx",
              "Resource": "*"
          }
      ]
  }