Object Storage Service:アクセスポイントを使用した OSS へのアクセス

特定のアクセスポイントへの権限委任

1. バケットリストに移動し、対象のバケットをクリックします。

2. 左側のナビゲーションウィンドウで、[権限コントロール] > [バケットポリシー] を選択し、[JSON ポリシーの追加] を選択します。

3. [編集] をクリックし、エディターに権限付与ポリシーを JSON 形式で入力します。

   説明

   ポリシーを設定する際、例の UID、バケット名、リージョン ID、アクセスポイント名を実際の情報に置き換えてください。バケットポリシーが空でない場合は、既存の Statement 配列に新しい要素を追加します。

   {
     "Version": "1",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "oss:*"
       ],
       "Principal": [
         "*"
       ],
       "Resource": [
         "acs:oss:*:179882766168****:example-bucket",
         "acs:oss:*:179882766168****:example-bucket/*"
       ],
       "Condition": {
         "StringEquals": {
           "oss:DataAccessPointArn": [
             "acs:oss:oss-{region-id}:179882766168****:accesspoint/{ap-name}"
           ]
         }
       }
     }]
   }

4. [保存] をクリックして、バケットポリシーの設定を完了します。

すべてのアクセスポイントへの権限委任

1. バケットリストに移動し、対象のバケットをクリックします。

2. 左側のナビゲーションウィンドウで、[権限コントロール] > [バケットポリシー] を選択し、[JSON ポリシーの追加] を選択します。

3. [編集] をクリックし、エディターに権限付与ポリシーを JSON 形式で入力します。

   説明

   ポリシーを設定する際、例の UID とバケット名を実際の情報に置き換えてください。バケットポリシーが空でない場合は、既存の Statement 配列に新しい要素を追加します。

   {
     "Version": "1",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "oss:*"
       ],
       "Principal": [
         "*"
       ],
       "Resource": [
         "acs:oss:*:179882766168****:example-bucket",
         "acs:oss:*:179882766168****:example-bucket/*"
       ],
       "Condition": {
         "StringEquals": {
           "oss:DataAccessPointAccount": [
             "179882766168****"
           ]
         }
       }
     }]
   }

4. [保存] をクリックして、バケットポリシーの設定を完了します。

ネットワークオリジンに基づく権限委任

1. バケットリストに移動し、対象のバケットをクリックします。

2. 左側のナビゲーションウィンドウで、[権限コントロール] > [バケットポリシー] を選択し、[JSON ポリシーの追加] を選択します。

3. [編集] をクリックし、エディターに権限付与ポリシーを JSON 形式で入力します。

   説明

   • ポリシーを設定する際、例の UID とバケット名を実際の情報に置き換えてください。バケットポリシーに既にコンテンツが含まれている場合は、既存の Statement 配列に新しい要素を追加します。

   • oss:AccessPointNetworkOrigin が internet に設定されている場合、ネットワークオリジンがインターネットであるすべてのアクセスポイントに権限が委任されます。この設定では、パブリックネットワークと VPC の両方からのアクセスが許可されます。アクセスを VPC のみに制限するには、この値を vpc に変更します。

   {
     "Version": "1",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "oss:*"
       ],
       "Principal": [
         "*"
       ],
       "Resource": [
         "acs:oss:*:179882766168****:example-bucket",
         "acs:oss:*:179882766168****:example-bucket/*"
       ],
       "Condition": {
         "StringEquals": {
           "oss:AccessPointNetworkOrigin": [
             "internet"
           ]
         }
       }
     }]
   }

4. [保存] をクリックして、バケットポリシーの設定を完了します。

SDK

現在、アクセスポイントエイリアスを使用して OSS リソースにアクセスできるのは、Java SDK と Python SDK のみです。

import com.aliyun.sdk.service.oss2.OSSClient;
import com.aliyun.sdk.service.oss2.credentials.CredentialsProvider;
import com.aliyun.sdk.service.oss2.credentials.StaticCredentialsProvider;
import com.aliyun.sdk.service.oss2.models.GetObjectRequest;

import java.io.File;

/**
 * OSS Java SDK V2 の例：アクセスポイントを使用してオブジェクトをローカルファイルにダウンロードします。
 */
public class DownloadObjectWithAccessPoint {

    public static void main(String[] args) {
        // OSS クライアントを作成します。
        String accessKeyId = System.getenv("OSS_ACCESS_KEY_ID");
        String accessKeySecret = System.getenv("OSS_ACCESS_KEY_SECRET");
        CredentialsProvider provider = new StaticCredentialsProvider(accessKeyId, accessKeySecret);
        OSSClient client = OSSClient.newBuilder()
                .credentialsProvider(provider)
                .region("<region-id>")
                .build();

        // アクセスポイントエイリアスを使用してオブジェクトをローカルファイルにダウンロードします。
        String bucket = "example-ap-b156d01070a10322664d6704cd1d47****-ossalias";
        String key = "example.jpg";
        File file = new File("example.jpg");
        client.getObjectToFile(GetObjectRequest.newBuilder()
                .bucket(bucket)
                .key(key)
                .build(), file);
        System.out.println("File downloaded: " + key + " -> " + file.getPath());

        // クライアントを閉じます。
        try {
            client.close();
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
"""OSS Python SDK V2 の例：アクセスポイントを使用してオブジェクトをローカルファイルにダウンロードします。"""

import alibabacloud_oss_v2 as oss


def main() -> None:
    """メイン関数"""
    # OSS クライアントを作成します。
    credentials_provider = oss.credentials.EnvironmentVariableCredentialsProvider()
    config = oss.config.load_default()
    config.credentials_provider = credentials_provider
    config.region = "<region-id>"
    config.endpoint = "oss-<region-id>.aliyuncs.com"
    client = oss.Client(config)

    # アクセスポイントエイリアスを使用してオブジェクトをローカルファイルにダウンロードします。
    bucket = "example-ap-b156d01070a10322664d6704cd1d47****-ossalias"
    key = "example.jpg"
    file_path = "example.jpg"
    request = oss.GetObjectRequest(bucket, key)
    client.get_object_to_file(request, file_path)
    print(f"File downloaded: {key} -> {file_path}")


if __name__ == "__main__":
    main()

ossutil

ossutil を使用して OSS リソースにアクセスする場合、バケット名としてアクセスポイントエイリアスを使用します。

ossutil cp oss://example-ap-b156d01070a10322664d6704cd1d47****-ossalias/example.jpg /tmp

REST API

REST API を使用して OSS リソースにアクセスする場合、Host ヘッダーでアクセスポイントエイリアスを使用します。次の例は、そのフォーマットを示しています：

GET /ObjectName HTTP/1.1
Host: example-ap-b156d01070a10322664d6704cd1d47****-ossalias.oss-{region-id}.aliyuncs.com 
Date: GMT Date
Authorization: SignatureValue

ap-01 (部門 1～3 の読み取り専用アクセス)

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "oss:GetObject",
      "oss:GetObjectAcl",
      "oss:ListObjects",
      "oss:RestoreObject",
      "oss:ListObjectVersions",
      "oss:GetObjectVersion",
      "oss:GetObjectVersionAcl",
      "oss:RestoreObjectVersion"
    ],
    "Principal": [
      "26571698800555****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-01/object/dir1/*"
    ]
  },{
    "Effect": "Allow",
    "Action": [
      "oss:ListObjects",
      "oss:GetObject"
    ],
    "Principal": [
      "26571698800555****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-01"
    ],
    "Condition": {
      "StringLike": {
        "oss:Prefix": [
          "dir1/*"
        ]
      }
    }
  }]
}

ap-02 (部門 4 のバケット全体への読み取り/書き込みアクセス)

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "oss:GetObject",
      "oss:PutObject",
      "oss:GetObjectAcl",
      "oss:PutObjectAcl",
      "oss:ListObjects",
      "oss:AbortMultipartUpload",
      "oss:ListParts",
      "oss:RestoreObject",
      "oss:ListObjectVersions",
      "oss:GetObjectVersion",
      "oss:GetObjectVersionAcl",
      "oss:RestoreObjectVersion"
    ],
    "Principal": [
      "25770968794578****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-02/object/*"
    ]
  },{
    "Effect": "Allow",
    "Action": [
      "oss:ListObjects",
      "oss:GetObject"
    ],
    "Principal": [
      "25770968794578****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-02"
    ],
    "Condition": {
      "StringLike": {
        "oss:Prefix": [
          "*"
        ]
      }
    }
  }]
}

ap-03 (部門 5～10 の VPC 経由での読み取り/書き込みアクセス)

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "oss:GetObject",
      "oss:PutObject",
      "oss:GetObjectAcl",
      "oss:PutObjectAcl",
      "oss:ListObjects",
      "oss:AbortMultipartUpload",
      "oss:ListParts",
      "oss:RestoreObject",
      "oss:ListObjectVersions",
      "oss:GetObjectVersion",
      "oss:GetObjectVersionAcl",
      "oss:RestoreObjectVersion"
    ],
    "Principal": [
      "26806658794579****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-03/object/dir2/*"
    ]
  },{
    "Effect": "Allow",
    "Action": [
      "oss:ListObjects",
      "oss:GetObject"
    ],
    "Principal": [
      "26806658794579****"
    ],
    "Resource": [
      "acs:oss:{region-id}:137918634953****:accesspoint/ap-03"
    ],
    "Condition": {
      "StringLike": {
        "oss:Prefix": [
          "dir2/*"
        ]
      }
    }
  }]
}

一括委任

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "oss:*"
    ],
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:137918634953****:examplebucket",
      "acs:oss:*:137918634953****:examplebucket/*"
    ],
    "Condition": {
      "StringEquals": {
        "oss:DataAccessPointAccount": [
          "137918634953****"
        ]
      }
    }
  }]
}

個別委任

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "oss:*"
    ],
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:137918634953****:examplebucket",
      "acs:oss:*:137918634953****:examplebucket/*"
    ],
    "Condition": {
      "StringEquals": {
        "oss:DataAccessPointArn": [
          "acs:oss:oss-{region-id}:137918634953****:accesspoint/ap-01",
          "acs:oss:oss-{region-id}:137918634953****:accesspoint/ap-02",
          "acs:oss:oss-{region-id}:137918634953****:accesspoint/ap-03"
        ]
      }
    }
  }]
}