Object Storage Service:パブリックアクセスブロック

非パブリックアクセスの条件と例

• ポリシー文のいずれか 1 つで、プリンシパルまたは条件のいずれかが次の表にリストされている基準のいずれかを満たしている場合、バケットポリシーは非パブリックアクセスを許可していると見なされます。

  説明

  • Action 要素と Resource 要素は、バケットポリシーがパブリックアクセスを許可するかどうかを決定しません。

  • バケットポリシーの Effect 要素の値が Deny の場合、バケットポリシーはパブリックアクセスを許可しません。

  要素	フィールド	値
  プリンシパル	該当なし	1 つ以上のフィールドが固定値に設定されています。固定値は、アスタリスク (*) ワイルドカード文字を含まない値として定義されます。
  条件	acs:SourceVpcId	1 つ以上のフィールドが固定値に設定されています。固定値は、アスタリスク (*) ワイルドカード文字を含まない値として定義されます。
  	acs:SourceVpc	1 つ以上のフィールドが固定値に設定されています。固定値は、アスタリスク (*) ワイルドカード文字を含まない値として定義されます。
  	acs:AccessId	1 つ以上のフィールドが固定値に設定されています。固定値は、アスタリスク (*) ワイルドカード文字を含まない値として定義されます。
  	acs:SourceVpcIp	IPv4 アドレスの場合、マスクは 8 以上である必要があります。 IPv6 アドレスの場合、マスクは 32 以上である必要があります。
  	acs:SourceIp	IPv4 アドレスの場合、マスクは 8 以上である必要があります。 IPv6 アドレスの場合、マスクは 32 以上である必要があります。

• 次のバケットポリシーの例では、非パブリックアクセスが付与されています。

  {
      "Version":"1",
      "Statement":[
          {
              "Action":[
                  "oss:GetObject",
                  "oss:GetObjectAcl",
                  "oss:GetObjectVersion",
                  "oss:GetObjectVersionAcl"
              ],
              "Effect":"Allow",
              "Principal":[
                  "20214760404935xxxx" // 特定のプリンシパル
              ],
              "Resource":[
                  "acs:oss:*:174649585760xxxx:examplebucket/hangzhou/2020/*",
                  "acs:oss:*:174649585760xxxx:examplebucket/shanghai/2015/*"
              ]
          },
          {
              "Action":[
                  "oss:ListObjects",
                  "oss:ListObjectVersions"
              ],
              "Condition":{
                  "StringLike":{
                      "oss:Prefix":[
                          "hangzhou/2020/*",
                          "shanghai/2015/*"
                      ]
                  }
              },
              "Effect":"Allow",
              "Principal":[
                  "20214760404935xxxx" // 特定のプリンシパル
              ],
              "Resource":[
                  "acs:oss:*:174649585760xxxx:examplebucket"
              ]
          }
      ]
  }

パブリックアクセスの条件と例

バケットポリシーが非パブリックアクセスの基準を満たしていない場合、パブリックアクセスを許可していると見なされます。例：

• 例 1

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "oss:GetObject",
              "Principal": "*", // 全てのプリンシパル
              "Resource": "acs:oss:*:17464958576xxxx:examplebucket/*"
          }
      ]
  }

• 例 2

  バケットポリシーに、すべての仮想プライベートクラウド (VPC) からのアクセスを許可するパブリックアクセス文と、特定のユーザーからのみアクセスを許可する非パブリックアクセス文の両方が含まれている場合、バケットポリシーはパブリックアクセスを許可していると見なされます。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "oss:GetObject",
              "Principal": "*", // 全てのプリンシパル
              "Resource": "acs:oss:*:17464958576xxxx:examplebucket/*",
              "Condition": {
                  "StringLike": {
                      "acs:SourceVpc": [
                          "vpc-*" // 全ての VPC
                          ]
                  }
              }
          },
        	{
              "Effect": "Allow",
              "Action": "oss:*",
              "Principal": "27464958576xxxx", // 特定のプリンシパル
              "Resource": "*"
          }
      ]
  }