Object Storage Service:RAM ポリシーによる OSS アクセスの制御

OSS ストレージモデル

OSS はフラットなストレージ構造を採用しており、オブジェクトをキーと値のペアとして保存します。すべてのオブジェクトはバケットに直接属し、物理的なディレクトリ階層は存在しません。コンソールに表示される「ディレクトリ」は、オブジェクトキーのプレフィックスと区切り文字 (/) を使用して、フォルダ階層を擬似的に表現したものです。

バケット examplebucket では、コンソールに以下のディレクトリ構造とオブジェクトキーが表示されます。

examplebucket
├── Development/                     # キー: Development/ (ディレクトリオブジェクト)
│   ├── Alibaba Cloud.pdf            # キー: Development/Alibaba Cloud.pdf
│   ├── ProjectA.docx                # キー: Development/ProjectA.docx
│   └── ProjectB.docx                # キー: Development/ProjectB.docx
├── Marketing/                       # キー: Marketing/ (ディレクトリオブジェクト)
│   ├── data2020.xlsx                # キー: Marketing/data2020.xlsx
│   └── data2021.xlsx                # キー: Marketing/data2021.xlsx
├── Private/                         # キー: Private/ (ディレクトリオブジェクト)
│   └── 2017/                        # キー: Private/2017/ (ディレクトリオブジェクト)
│       ├── images.zip               # キー: Private/2017/images.zip
│       └── promote.pptx             # キー: Private/2017/promote.pptx
└── oss-dg.pdf                       # キー: oss-dg.pdf

ディレクトリ オブジェクトのキーは / で終わります。OSS はこのサフィックスを使用して ディレクトリ を識別します。ストレージでは、ディレクトリ オブジェクトを含むすべてのオブジェクトがフラットに格納されます。

OSS には本来のディレクトリ階層がないため、「ディレクトリ」へのアクセス許可は、特定のプレフィックスで始まるすべてのオブジェクトへのアクセスを許可することを意味します。たとえば、Development/ ディレクトリへのアクセス許可は、キーが Development/ で始まるすべてのオブジェクトへのアクセス許可と同等です。

バケット、ディレクトリ、オブジェクトリクエストの相違点

操作によって、必要となる API リクエストと Resource の構成は異なります。

GET /?prefix=Development/&delimiter=/ HTTP/1.1
Host: examplebucket.oss-cn-hangzhou.aliyuncs.com

コンソールと API/SDK アクセスの比較

コンソール経由のアクセスでは、バケットリストからターゲットディレクトリまで移動する必要があるため、直接的な API や SDK の呼び出しよりも多くの権限が必要になります。

ポリシーの設計

Development/ への読み書きアクセスには、2 種類の権限が必要です：

1. 一覧表示権限: 一覧表示を Development プレフィックスに制限する Condition 付きで、Development/ 内のオブジェクトを一覧表示します (oss:ListObjects)。

2. 読み取り/書き込み権限: Development/ 内のファイルの読み取りとアップロード (oss:GetObject、oss:PutObject)。リソースは examplebucket/Development/* に設定されます。

ポリシーの作成とアタッチ

1. RAM コンソールの[ポリシー] ページに移動し、[ポリシーの作成] をクリックします。

2. [JSON] タブで、以下のポリシードキュメントを入力します。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "oss:ListObjects",
         "Resource": "acs:oss:*:*:examplebucket",
         "Condition": {
           "StringLike": {
             "oss:Prefix": [
               "",
               "Development/*"
             ]
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "oss:GetObject",
           "oss:PutObject",
           "oss:GetObjectAcl"
         ],
         "Resource": "acs:oss:*:*:examplebucket/Development/*"
       }
     ]
   }

   ポリシーの分析：

   • 最初のステートメント: Condition の oss:Prefix を使用して一覧表示を Development ディレクトリおよびサブディレクトリに制限することで、バケットに対するリスト権限を付与します。

   • 2 番目のステートメント: Development/* 配下のすべてのオブジェクトに読み取り/書き込みアクセス権を付与します。

3. OK をクリックし、[ポリシー名] (たとえば AllowAnneAccessDevelopment など) を入力し、OK をクリックして作成を完了します。

4. [ユーザー] ページに移動し、RAM ユーザー Anne を見つけ、新しく作成されたポリシーをアタッチして [権限を追加] します。

ユーザーグループの作成とメンバーの追加

1. RAM ユーザーグループリストに移動し、[ユーザーグループの作成] をクリックします (例: DenyPrivateAccessGroup)。

2. [グループメンバーの追加] をクリックし、Private/ フォルダーへのアクセスを拒否する必要がある RAM ユーザーをユーザーグループに追加します。

拒否ポリシーの作成とアタッチ

1. RAM コンソールのポリシーページに移動し、[ポリシーの作成] をクリックします。

2. [JSON]タブで、以下のポリシードキュメントを入力します。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": "oss:*",
         "Resource": "acs:oss:*:*:examplebucket/Private/*"
       },
       {
         "Effect": "Deny",
         "Action": "oss:ListObjects",
         "Resource": "acs:oss:*:*:examplebucket",
         "Condition": {
           "StringLike": {
             "oss:Prefix": "Private/*"
           }
         }
       }
     ]
   }

   ポリシーの分析：

   • 最初のステートメント：Private/ 配下のオブジェクトに対するすべての操作を拒否します。

   • 2番目のステートメント: Private/ コンテンツの一覧表示を拒否するため、ユーザーはファイル一覧を表示できなくなります。

3. OK をクリックし、[ポリシー名] (DenyAccessPrivateFolder など) を入力し、OK をクリックして作成を完了します。

4. グループ ページに移動してユーザーグループを見つけ、先ほど作成したポリシーをアタッチして [権限を追加] します。

グループメンバーが Private/ フォルダー内のファイルを一覧表示またはダウンロードしようとすると、OSS は権限拒否エラーを返します。