Object Storage Service:RAM ポリシーによる OSS アクセスの制御

OSS ストレージモデル

OSS はフラットなストレージモデルを使用して、オブジェクトをキーと値のペアとして保存します。すべてのオブジェクトは直接バケットに属しており、物理的なディレクトリ階層は存在しません。コンソールに表示される「ディレクトリ」は、オブジェクトキーのプレフィックスとデリミタ (/) を使用してフォルダ階層をシミュレートすることで実現されています。この機能により、ファイルをグループ化・分類・管理できます。

バケット examplebucket について、コンソールに表示されるディレクトリ構造と対応するオブジェクトキーは次のとおりです。

examplebucket
├── Development/                     # Key: Development/ (directory object)
│   ├── Alibaba Cloud.pdf            # Key: Development/Alibaba Cloud.pdf
│   ├── ProjectA.docx                # Key: Development/ProjectA.docx
│   └── ProjectB.docx                # Key: Development/ProjectB.docx
├── Marketing/                       # Key: Marketing/ (directory object)
│   ├── data2020.xlsx                # Key: Marketing/data2020.xlsx
│   └── data2021.xlsx                # Key: Marketing/data2021.xlsx
├── Private/                         # Key: Private/ (directory object)
│   └── 2017/                        # Key: Private/2017/ (directory object)
│       ├── images.zip               # Key: Private/2017/images.zip
│       └── promote.pptx             # Key: Private/2017/promote.pptx
└── oss-dg.pdf                       # Key: oss-dg.pdf

ディレクトリオブジェクトのキーは / で終わります。これにより、OSS はそのオブジェクトを「ディレクトリ」として認識します。実際のストレージシステムでは、ディレクトリオブジェクトを含むすべてのオブジェクトがフラットな構造で保存されています。

OSS には真のディレクトリ階層が存在しないため、「ディレクトリ」へのアクセス権限を付与する場合、実際には特定のプレフィックスを持つすべてのオブジェクトへのアクセス権限を付与することになります。たとえば、Development/ ディレクトリへのアクセスを許可することは、キーが Development/ で始まるすべてのオブジェクトへのアクセスを許可することと同等です。

バケット、ディレクトリ、オブジェクトのリクエストの違い

操作対象によって必要な API リクエストおよび Resource 構成が異なります。これらの違いを理解することが、ポリシーを正しく構成するための鍵となります。

GET /?prefix=Development/&delimiter=/ HTTP/1.1
Host: examplebucket.oss-cn-hangzhou.aliyuncs.com

コンソールと API/SDK アクセスの違い

OSS にコンソールからアクセスする場合、バケット一覧から目的のディレクトリへナビゲートする必要があります。このため、直接 API や SDK を呼び出す場合よりも多くの権限が必要です。

ポリシー設計

Development/ フォルダへの読み書きアクセスを有効にするには、次の 2 種類の権限を付与する必要があります。

1. 一覧表示権限：Development/ フォルダ内のオブジェクトを一覧表示できる権限（oss:ListObjects）。ここで Condition を使用して、Development プレフィックスで始まるオブジェクトのみを一覧表示できるように制限します。

2. 読み書き権限：Development/ ディレクトリ内のファイルを読み取ったりアップロードしたりできる権限（oss:GetObject、oss:PutObject）。Resource は examplebucket/Development/* に設定します。

ポリシーの作成とアタッチ

1. RAM コンソールのポリシーページに移動し、ポリシーの作成 をクリックします。

2. JSON タブで、次のポリシードキュメントを入力します。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "oss:ListObjects",
         "Resource": "acs:oss:*:*:examplebucket",
         "Condition": {
           "StringLike": {
             "oss:Prefix": [
               "Development",
               "Development/*"
             ]
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "oss:GetObject",
           "oss:PutObject",
           "oss:GetObjectAcl"
         ],
         "Resource": "acs:oss:*:*:examplebucket/Development/*"
       }
     ]
   }

   ポリシー分析：

   • 最初のステートメント：Resource をバケット自体に設定し、Condition ブロックの oss:Prefix 条件を使用して、Development ディレクトリおよびそのサブディレクトリ内の一覧表示を許可します。

   • 2 番目のステートメント：読み取りおよび書き込み権限を付与し、Resource を Development/* パス内のすべてのオブジェクトに指定します。

3. OK をクリックし、ポリシー名（例：AllowAnneAccessDevelopment）を入力して、OK をクリックして作成を完了します。

4. ユーザーページに移動し、RAM ユーザー Anne を見つけて、新しく作成したポリシーをアタッチして権限を追加します。

ユーザーグループの作成とメンバーの追加

1. RAM ユーザグループリストに移動し、[ユーザグループの作成] をクリックします（例：DenyPrivateAccessGroup）。

2. グループメンバーの追加 をクリックし、Private/ フォルダへのアクセスを拒否する必要がある RAM ユーザーをユーザーグループに追加します。

拒否ポリシーの作成とアタッチ

1. RAM コンソールのポリシーページに移動し、ポリシーの作成 をクリックします。

2. JSON タブで、次のポリシードキュメントを入力します。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": "oss:*",
         "Resource": "acs:oss:*:*:examplebucket/Private/*"
       },
       {
         "Effect": "Deny",
         "Action": "oss:ListObjects",
         "Resource": "acs:oss:*:*:examplebucket",
         "Condition": {
           "StringLike": {
             "oss:Prefix": [
               "Private/",
               "Private/*"
             ]
           }
         }
       }
     ]
   }

   ポリシー分析：

   • 最初のステートメント：Private/ パス配下のすべてのファイルに対するあらゆる操作を拒否します。

   • 2 番目のステートメント：Private/ フォルダの内容を一覧表示することを拒否し、ユーザーがファイル一覧を表示できないようにします。

3. OK をクリックし、ポリシー名（例：DenyAccessPrivateFolder）を入力して、OK をクリックして作成を完了します。

4. グループページに移動し、ユーザーグループを見つけて、先ほど作成したポリシーをアタッチして権限を追加します。

ユーザーグループに所属する RAM ユーザーがファイルの一覧表示やダウンロードによって Private/ フォルダにアクセスしようとすると、OSS は権限拒否のエラー応答を返します。