Object Storage Service:パブリックアクセスブロック

非パブリックアクセスの条件と例

• バケットポリシーステートメントのプリンシパルまたは Condition 要素がこれらの基準のいずれかを満たす場合、そのステートメントは非パブリックです。

  説明

  • Action 要素と Resource 要素は、パブリックアクセス評価に影響しません。

  • Effect 要素が Deny の場合、ポリシーはパブリックアクセスを許可しません。

  要素	フィールド	値
  プリンシパル	N/A	アスタリスク (*) ワイルドカードを含まない 1 つ以上の固定値を指定します。
  Condition	acs:SourceVpcId	アスタリスク (*) ワイルドカードを含まない 1 つ以上の固定値を指定します。
  	acs:SourceVpc	アスタリスク (*) ワイルドカードを含まない 1 つ以上の固定値を指定します。
  	acs:AccessId	アスタリスク (*) ワイルドカードを含まない 1 つ以上の固定値を指定します。
  	acs:SourceVpcIp	IPv4 アドレスの場合、マスクは 8 以上である必要があります。 IPv6 アドレスの場合、マスクは 32 以上である必要があります。
  	acs:SourceIp	IPv4 アドレスの場合、マスクは 8 以上である必要があります。 IPv6 アドレスの場合、マスクは 32 以上である必要があります。

• 以下は、非パブリックアクセスを許可するバケットポリシーの例です。

  {
      "Version":"1",
      "Statement":[
          {
              "Action":[
                  "oss:GetObject",
                  "oss:GetObjectAcl",
                  "oss:GetObjectVersion",
                  "oss:GetObjectVersionAcl"
              ],
              "Effect":"Allow",
              "Principal":[
                  "20214760404935xxxx"
              ],
              "Resource":[
                  "acs:oss:*:174649585760xxxx:examplebucket/hangzhou/2020/*",
                  "acs:oss:*:174649585760xxxx:examplebucket/shanghai/2015/*"
              ]
          },
          {
              "Action":[
                  "oss:ListObjects",
                  "oss:ListObjectVersions"
              ],
              "Condition":{
                  "StringLike":{
                      "oss:Prefix":[
                          "hangzhou/2020/*",
                          "shanghai/2015/*"
                      ]
                  }
              },
              "Effect":"Allow",
              "Principal":[
                  "20214760404935xxxx"
              ],
              "Resource":[
                  "acs:oss:*:174649585760xxxx:examplebucket"
              ]
          }
      ]
  }

パブリックアクセスの条件と例

バケットポリシーが非パブリックアクセスの基準を満たさない場合、そのポリシーはパブリックアクセスを許可します。例：

• 例 1

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "oss:GetObject",
              "Principal": "*",
              "Resource": "acs:oss:*:17464958576xxxx:examplebucket/*"
          }
      ]
  }

• 例 2

  バケットポリシーに、すべての VPC からのアクセスを許可するステートメントと、特定のユーザーに対する非パブリックステートメントの両方が含まれている場合、そのポリシーはパブリックアクセスを許可します。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "oss:GetObject",
              "Principal": "*",
              "Resource": "acs:oss:*:17464958576xxxx:examplebucket/*",
              "Condition": {
                  "StringLike": {
                      "acs:SourceVpc": [
                          "vpc-*"
                          ]
                  }
              }
          },
        	{
              "Effect": "Allow",
              "Action": "oss:*",
              "Principal": "27464958576xxxx",
              "Resource": "*"
          }
      ]
  }