Object Storage Service:リソースグループによるきめ細かなアクセス制御

仕組み

リソースグループは、プロジェクトや環境ごとにリソースを整理します。リソースをグループ化したら、そのグループにのみ権限を限定する RAM ポリシーをアイデンティティ (RAM ユーザー、ユーザーグループ、ロールなど) にアタッチできます。詳細については、「リソースのグループ化と権限付与」をご参照ください。

このアプローチには、主に 2 つのメリットがあります。

• きめ細かなアクセス制御：アカウント全体の権限を付与する代わりに、アイデンティティのアクセスを特定のグループ内のリソースのみに制限できます。これにより、プロジェクト固有のワークロードを分離し、意図しないアクセスのリスクを軽減できます。

• 管理の簡素化：新しいリソースがリソースグループに追加されると、そのグループに限定された権限を持つ RAM アイデンティティは自動的にアクセスできます。新しいリソースが作成されるたびに RAM ポリシーを更新する必要はありません。

RAM ユーザーへのリソースグループレベルの権限付与

このセクションでは、特定のリソースグループ内のObject Storage Service (OSS)リソースにのみアクセス権限を RAM ユーザーに付与する方法について説明します。

サポート対象リソース

以下のObject Storage Service (OSS)リソースは、リソースグループレベルの権限付与をサポートしています。

サポート対象外アクション

以下のObject Storage Service (OSS)アクションは、リソースグループレベルの権限付与をサポートしていません。

上記のアクションについては、 [Resource Scope] を [Account] に設定し、カスタムポリシーを作成する必要があります。

以下のポリシー例は、必要に応じてカスタマイズ可能です。

• 読み取り専用アクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "oss:DescribeRegions",
          "oss:GetBucket",
          "oss:GetCache",
          "oss:GetDataLakeStorageTransferJob",
          "oss:GetFileDetectReport",
          "oss:GetImageSceneLabelListConf",
          "oss:GetImportAddress",
          "oss:GetImportAgent",
          "oss:GetImportJob",
          "oss:GetImportJobResult",
          "oss:GetImportReport",
          "oss:GetImportTunnel",
          "oss:GetJobNameList",
          "oss:GetObjectMeta",
          "oss:GetOssBucketScanStatistic",
          "oss:GetOssCheckResultDetail",
          "oss:GetOssCheckStatus",
          "oss:GetOssScanConfig",
          "oss:GetPublicAccessBlock",
          "oss:GetReservedCapacity",
          "oss:GetResourcePoolBucketGroupQoSInfo",
          "oss:GetResourcePoolInfo",
          "oss:GetResourcePoolPriorityQosConfiguration",
          "oss:GetResourcePoolRequesterPriorityQosConfiguration",
          "oss:GetResourcePoolRequesterQoSInfo",
          "oss:GetScanNum",
          "oss:GetScanResult",
          "oss:GetSddpBucketIdentifyStat",
          "oss:GetSddpBucketRuleTop",
          "oss:GetSddpDefaultTask",
          "oss:GetSddpObject",
          "oss:GetSddpUserPortrait",
          "oss:GetService",
          "oss:GetServiceConfig",
          "oss:GetServiceLabelConfig",
          "oss:GetStatusList",
          "oss:GetStockOssCheckTasksList",
          "oss:GetSwitchRegionDetail",
          "oss:GetSystemNotification",
          "oss:GetUserAntiDDosInfo",
          "oss:GetUserQoSInfo",
          "oss:List",
          "oss:ListAccessPointsForObjectProcess",
          "oss:ListBucketAntiDDosInfo",
          "oss:ListCache",
          "oss:ListDataLakeStorageTransferJob",
          "oss:ListDataLakeStorageTransferJobHistory",
          "oss:ListDataRedundancyType",
          "oss:ListImportAddress",
          "oss:ListImportAgent",
          "oss:ListImportJob",
          "oss:ListImportJobHistory",
          "oss:ListImportTunnel",
          "oss:ListJobs",
          "oss:ListMaliciousFileWhitelistConfigs",
          "oss:ListObjectScanEvent",
          "oss:ListObjectsV2",
          "oss:ListOssBucket",
          "oss:ListOssBucketScanInfo",
          "oss:ListReservedCapacity",
          "oss:ListResourcePoolBucketGroupQoSInfos",
          "oss:ListResourcePoolBucketGroups",
          "oss:ListResourcePoolBuckets",
          "oss:ListResourcePoolRequesterQoSInfos",
          "oss:ListResourcePools",
          "oss:ListSddpBuckets",
          "oss:ListSddpFileCategorys",
          "oss:ListSddpObjects",
          "oss:ListSddpRegions",
          "oss:ListSddpTasks",
          "oss:ListSddpTemplateAllRules",
          "oss:ListServiceConfigs",
          "oss:ListSupportObjectSuffix",
          "oss:ListUserDataRedundancyTransition",
          "oss:ListVectorBuckets"
        ],
        "Resource": "*"
      }
    ]
  }
  

• フルアクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "oss:ActivateProduct",
          "oss:AppendObject",
          "oss:BatchDeleteMaliciousFileWhitelistConfig",
          "oss:CancelStockOssCheckTask",
          "oss:CheckMfdServiceOpen",
          "oss:CompleteMultipartUpload",
          "oss:CreateImportAddress",
          "oss:CreateImportAgent",
          "oss:CreateImportJob",
          "oss:CreateImportReport",
          "oss:CreateImportTunnel",
          "oss:CreateJob",
          "oss:CreateMaliciousFileWhitelistConfig",
          "oss:CreateOrder",
          "oss:CreateOssBucketScanTask",
          "oss:CreateOssScanConfig",
          "oss:CreatePreCheck",
          "oss:CreateReservedCapacity",
          "oss:CreateSddpDefaultTask",
          "oss:CreateStockOssCheckTask",
          "oss:DeleteBucketCacheConfiguration",
          "oss:DeleteCache",
          "oss:DeleteImportAddress",
          "oss:DeleteImportAgent",
          "oss:DeleteImportJob",
          "oss:DeleteImportTunnel",
          "oss:DeletePublicAccessBlock",
          "oss:DeleteResourcePoolBucketGroupQoSInfo",
          "oss:DeleteResourcePoolPriorityQosConfiguration",
          "oss:DeleteResourcePoolRequesterPriorityQosConfiguration",
          "oss:DeleteResourcePoolRequesterQoSInfo",
          "oss:DeleteSddpDefaultTask",
          "oss:DeleteSystemNotification",
          "oss:DescribeExportInfo",
          "oss:DescribeJob",
          "oss:DescribeRegions",
          "oss:DescribeServiceLinkedRoleStatus",
          "oss:DoLogicalDeleteResource",
          "oss:DoPhysicalDeleteResource",
          "oss:ExportRecord",
          "oss:ExportResult",
          "oss:GeneratePortraitForOss",
          "oss:GetBucket",
          "oss:GetCache",
          "oss:GetDataLakeStorageTransferJob",
          "oss:GetFileDetectReport",
          "oss:GetImageSceneLabelListConf",
          "oss:GetImportAddress",
          "oss:GetImportAgent",
          "oss:GetImportJob",
          "oss:GetImportJobResult",
          "oss:GetImportReport",
          "oss:GetImportTunnel",
          "oss:GetJobNameList",
          "oss:GetObjectMeta",
          "oss:GetOssBucketScanStatistic",
          "oss:GetOssCheckResultDetail",
          "oss:GetOssCheckStatus",
          "oss:GetOssScanConfig",
          "oss:GetPublicAccessBlock",
          "oss:GetReservedCapacity",
          "oss:GetResourcePoolBucketGroupQoSInfo",
          "oss:GetResourcePoolInfo",
          "oss:GetResourcePoolPriorityQosConfiguration",
          "oss:GetResourcePoolRequesterPriorityQosConfiguration",
          "oss:GetResourcePoolRequesterQoSInfo",
          "oss:GetScanNum",
          "oss:GetScanResult",
          "oss:GetSddpBucketIdentifyStat",
          "oss:GetSddpBucketRuleTop",
          "oss:GetSddpDefaultTask",
          "oss:GetSddpObject",
          "oss:GetSddpUserPortrait",
          "oss:GetService",
          "oss:GetServiceConfig",
          "oss:GetServiceLabelConfig",
          "oss:GetStatusList",
          "oss:GetStockOssCheckTasksList",
          "oss:GetSwitchRegionDetail",
          "oss:GetSystemNotification",
          "oss:GetUserAntiDDosInfo",
          "oss:GetUserQoSInfo",
          "oss:HandleObjectScanEvent",
          "oss:HeadObject",
          "oss:InitBucketAntiDDosInfo",
          "oss:InitUserAntiDDosInfo",
          "oss:InitiateMultipartUpload",
          "oss:List",
          "oss:ListAccessPointsForObjectProcess",
          "oss:ListBucketAntiDDosInfo",
          "oss:ListCache",
          "oss:ListDataLakeStorageTransferJob",
          "oss:ListDataLakeStorageTransferJobHistory",
          "oss:ListDataRedundancyType",
          "oss:ListImportAddress",
          "oss:ListImportAgent",
          "oss:ListImportJob",
          "oss:ListImportJobHistory",
          "oss:ListImportTunnel",
          "oss:ListJobs",
          "oss:ListMaliciousFileWhitelistConfigs",
          "oss:ListObjectScanEvent",
          "oss:ListObjectsV2",
          "oss:ListOssBucket",
          "oss:ListOssBucketScanInfo",
          "oss:ListReservedCapacity",
          "oss:ListResourcePoolBucketGroupQoSInfos",
          "oss:ListResourcePoolBucketGroups",
          "oss:ListResourcePoolBuckets",
          "oss:ListResourcePoolRequesterQoSInfos",
          "oss:ListResourcePools",
          "oss:ListSddpBuckets",
          "oss:ListSddpFileCategorys",
          "oss:ListSddpObjects",
          "oss:ListSddpRegions",
          "oss:ListSddpTasks",
          "oss:ListSddpTemplateAllRules",
          "oss:ListServiceConfigs",
          "oss:ListSupportObjectSuffix",
          "oss:ListUserDataRedundancyTransition",
          "oss:ListVectorBuckets",
          "oss:ModifySddpDefaultTask",
          "oss:OpenOssService",
          "oss:OperateBucketScanTask",
          "oss:OssCheckResultList",
          "oss:PostObject",
          "oss:PublishRtmpStream",
          "oss:PutBucketACL",
          "oss:PutBucketTag",
          "oss:PutCache",
          "oss:PutDataLakeStorageTransferJob",
          "oss:PutObjectACL",
          "oss:PutPublicAccessBlock",
          "oss:PutResourcePoolBucketGroupQoSInfo",
          "oss:PutResourcePoolPriorityQosConfiguration",
          "oss:PutResourcePoolRequesterPriorityQosConfiguration",
          "oss:PutResourcePoolRequesterQoSInfo",
          "oss:PutSystemNotification",
          "oss:SddpCreateDataLimit",
          "oss:SddpDescribeAllBucketInstances",
          "oss:SddpDescribeBucketInstances",
          "oss:StartDataLakeStorageTransferJob",
          "oss:UpdateBucketAntiDDosInfo",
          "oss:UpdateImportAddress",
          "oss:UpdateImportJob",
          "oss:UpdateImportTunnel",
          "oss:UpdateJobPriority",
          "oss:UpdateJobStatus",
          "oss:UpdateMaliciousFileWhitelistConfig",
          "oss:UpdateOssScanConfig",
          "oss:UpdateReservedCapacity",
          "oss:UpdateSddpTaskStatus",
          "oss:UpdateServiceConfig",
          "oss:UpdateUserAntiDDosInfo",
          "oss:UpgradeSddpVersion",
          "oss:UploadPart",
          "oss:UploadPartCopy",
          "oss:VerifyAgentTunnel",
          "oss:VerifyImportAddress",
          "oss:getObects"
        ],
        "Resource": "*"
      }
    ]
  }
  

よくある質問