Object Storage Service:バケットポリシー

シナリオ 1：読み取り/書き込み権限の付与

特定のチームメンバーやパートナーがバケット内のファイルをアップロード、ダウンロード、管理できるようにするには、バケットポリシーを使用して、対応する RAM ユーザーに権限を付与できます。以下の例では、UID が 27737962156157xxxx および 20214760404935xxxx の RAM ユーザーに、example-bucket バケットに対する読み取り/書き込み権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Allow",
            "Action":[
                "oss:GetObject",
                "oss:PutObject",
                "oss:GetObjectAcl",
                "oss:PutObjectAcl",
                "oss:AbortMultipartUpload",
                "oss:ListParts",
                "oss:RestoreObject",
                "oss:GetVodPlaylist",
                "oss:PostVodPlaylist",
                "oss:PublishRtmpStream",
                "oss:ListObjectVersions",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl",
                "oss:RestoreObjectVersion"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ]
        },
        {
            "Effect":"Allow",
            "Action":[
                "oss:ListObjects"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "*"
                    ]
                }
            }
        }
    ]
}

シナリオ 2：特定のディレクトリへの読み取り専用権限の付与

バケット内の特定のプロジェクトファイルを変更から保護しながら、プロジェクトメンバーがそれらを読み取れるようにするには、対応する RAM ユーザーに読み取り専用権限を付与できます。以下の例では、UID が 20214760404935xxxx の RAM ユーザーに、example-bucket バケット内の特定のディレクトリ (プレフィックス hangzhou/2020 および shanghai/2015) に対する読み取り専用権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:GetObject",
                "oss:GetObjectAcl",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/hangzhou/2020/*",
                "acs:oss:*:174649585760xxxx:example-bucket/shanghai/2015/*"
            ]
        },
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "hangzhou/2020/",
                        "shanghai/2015/"
                    ]
                }
            },
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 3：表示およびリスト権限の付与

特定のチームメンバーやパートナーがバケットに関するすべての情報を表示し、そのオブジェクトをリストできるようにするには、バケットポリシーを使用して、対応する RAM ユーザーに権限を付与できます。以下の例では、RAM ユーザーに、example-bucket バケットに関するすべての情報を表示し、その中のオブジェクトをリストする権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 4：RAM ロールへの読み取り権限の付与

RAM ユーザーまたはアプリケーションがバケットオブジェクトに一時的にアクセスできるようにするには、RAM ロールを作成し、必要な権限を付与できます。RAM ユーザーまたはアプリケーションは、ロールを引き受けることで一時的なアクセス認証情報を取得し、バケットオブジェクトを読み取ることができます。以下の例では、1 つの RAM ロール配下のすべてのセッションと、別の RAM ロール配下の特定のセッションに、example-bucket バケット内のすべてのオブジェクトを読み取る権限を付与します。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:GetObject"
            ],
            "Effect": "Allow",
            "Principal": [
                "arn:sts::10323xxxxx72056:assumed-role/role-name/session-name",
                "arn:sts::10323xxxxx72056:assumed-role/role2-name/*"
            ],
            "Resource": [
                "acs:oss:*:10323xxxxx72056:example-bucket/*"
            ]
        }
    ]
}

シナリオ 5：すべてのユーザーへのリスト権限の付与

バケットが公開リソース共有に使用され、すべてのユーザーがオブジェクト名を表示できるようにする一方で、コンテンツへのアクセスは許可しない場合、プリンシパルをワイルドカード (*) に設定できます。次に、プリンシパルにすべてのオブジェクトをリストする権限を付与します。以下の例では、すべてのユーザーに、example-bucket バケット内のすべてのオブジェクトをリストする権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 1：パブリックネットワークアクセスの制限

パブリックネットワークから特定のバケットへのアクセスをブロックするには、acs:SourceVpc 条件キーを含む拒否ステートメントを作成し、そのステートメントをバケットポリシーに追加します。このステートメントは、VPC からではないリクエストをブロックし、すべてのパブリックネットワークアクセスを効果的に拒否します。以下の例では、VPC 外部のすべてのユーザーからの example-bucket バケットへのネットワークアクセスを拒否します。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "oss:*",
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*",
        "acs:oss:*:174649585760xxxx:example-bucket"
      ],
      "Condition": {
        "StringNotLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

シナリオ 2：特定の VPC へのアクセス制限

バケットへのアクセスを特定の VPC に制限するには、acs:SourceVpc 条件キーを使用してバケットポリシーに拒否ステートメントを作成できます。このステートメントは、他の VPC またはパブリックネットワークからのリクエストをブロックします。以下の例は、ID が t4nlw426y44rd3iq4xxxx である指定された VPC の外部のすべてのユーザーが、example-bucket バケット内のオブジェクトを読み取ることを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

シナリオ 3：特定のパブリック IP アドレスへのアクセス制限

バケットアクセスを特定のパブリック IP アドレスに制限するには、2 つの拒否ステートメントを作成する必要があります。

• ステートメント 1 (指定外の IP アドレスからのパブリックネットワークリクエストを拒否): このステートメントは、StringNotLike: {"acs:SourceVpc": "vpc-*"} を使用してパブリックネットワークリクエストを識別します (パブリックネットワークリクエストの acs:SourceVpc 値は vpc- で始まりません)。次に、NotIpAddress: {"acs:SourceIp": "..."} を使用して、指定された IP アドレス以外からのリクエストを拒否します。両方の条件が満たされた場合にリクエストが拒否されます。

• ステートメント 2 (すべての VPC リクエストを拒否): このステートメントは、StringLike: {"acs:SourceVpc": "vpc-*"} を使用して、任意の VPC からのすべてのリクエストを照合して拒否します。目標は、指定されたパブリック IP アドレスからのアクセスのみを許可することです。

これら 2 つの拒否ステートメントをバケットポリシーに追加すると、いずれかのステートメントの条件に一致する場合にリクエストが拒否されます。以下の例では、パブリック IP アドレス 203.0.113.5 を持つユーザーを除くすべてのユーザーからの、example-bucket への読み取りアクセスを拒否します。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": [
      "oss:GetObject"
    ],
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*"
    ],
    "Condition": {
      "NotIpAddress": {
        "acs:SourceIp": [
          "203.0.113.5"
        ]
      },
      "StringNotLike": {
        "acs:SourceVpc": [
          "vpc-*"
        ]
      }
    }
  },
    {
      "Effect": "Deny",
      "Action": [
        "oss:GetObject"
      ],
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*"
      ],
      "Condition": {
        "StringLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

シナリオ 4：VPC 内の IP アドレス範囲へのアクセス制限

特定の VPC 内の特定の IP アドレス範囲へのバケットアクセスを制限するには、2 つの拒否ステートメントを作成する必要があります。

• ステートメント 1 (指定された VPC の外部からのすべてのリクエストを拒否): このステートメントは、StringNotEquals: {"acs:SourceVpc": "..."} を使用して、他の VPC およびパブリックネットワークからのリクエストを拒否します。

• ステートメント 2 (VPC 内の指定された IP アドレス範囲外からのリクエストを拒否): このステートメントは、StringEquals: {"acs:SourceVpc": "..."} を使用して指定された VPC からのリクエストを照合し、次に NotIpAddress: {"acs:SourceIp": "..."} を使用して指定された IP アドレス範囲外からのリクエストを拒否します。両方の条件が満たされた場合にリクエストが拒否されます。

これら 2 つの拒否ステートメントをバケットポリシーに追加すると、いずれかのステートメントの条件に一致する場合にリクエストが拒否されます。以下の例では、ID が t4nlw426y44rd3iq4xxxx の VPC 内の IP アドレス範囲 192.168.0.0/16 からのアクセスを除き、example-bucket バケットへのすべての読み取りアクセスを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "192.168.0.0/16"
                    ]
                }
            }
        }
    ]
}

シナリオ 5：パブリック IP または VPC へのアクセス制限

バケットへのアクセスを特定のパブリック IP アドレスまたは特定の VPC に制限するには、2 つの拒否ステートメントを作成する必要があります。

• ステートメント 1 (パブリックネットワークリクエストにおいて、指定外の IP を拒否): このステートメントは、StringNotLike: {"acs:SourceVpc": "vpc-*"} を使用してパブリックネットワークリクエストを識別し、次に NotIpAddress: {"acs:SourceIp": "..."} を使用して指定外のパブリック IP アドレスからのリクエストを拒否します。両方の条件が満たされた場合にリクエストが拒否されます。VPC リクエストは、acs:SourceVpc 値が vpc- で始まるため、このステートメントに一致しません。

• ステートメント 2 (VPC リクエストにおいて、指定外の VPC を拒否): このステートメントは、StringLike: {"acs:SourceVpc": "vpc-*"} を使用して VPC リクエストを識別し、次に StringNotEquals: {"acs:SourceVpc": "..."} を使用して指定外の VPC からのリクエストを拒否します。両方の条件が満たされた場合にリクエストが拒否されます。パブリックネットワークリクエストは、acs:SourceVpc 値が vpc- で始まらないため、このステートメントに一致しません。

これら 2 つの拒否ステートメントをバケットポリシーに追加すると、いずれかのステートメントの条件に一致する場合にリクエストが拒否されます。以下の例では、パブリック IP アドレス 203.0.113.5 からのアクセス、または ID が t4nlw426y44rd3iq4xxxx の VPC からのアクセスを除き、すべてのユーザーからの example-bucket バケットへの読み取りアクセスを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "203.0.113.5"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

シナリオ 6：IP ブラックリストの設定

特定の IP アドレスからバケットとそのオブジェクトへのアクセスを拒否するには、IP ブラックリストポリシーを使用できます。バケットポリシーに拒否ステートメントを設定することで、指定された IP アドレスまたは IP アドレス範囲からのすべてのアクセスリクエストをブロックできます。

ポリシー内の StringLike: {"acs:SourceVpc": "*"} は、ワイルドカード文字を使用してすべての値を照合するため、実際には VPC スコープを制限しません。この条件は、acs:SourceIp を指定する場合は acs:SourceVpc も指定する必要があるという制約を満たすためのものです。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": "oss:*",
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*",
      "acs:oss:*:174649585760xxxx:example-bucket"
    ],
    "Condition": {
      "IpAddress": {
        "acs:SourceIp": [
          "101.***.***.100"
        ]
      },
      "StringLike": {
        "acs:SourceVpc": [
          "*"
        ]
      }
    }
  }]
}

Scenario 1: Require temporary credentials for API calls

To require that API calls use temporary access credentials, you can use the acs:AccessId condition key to create a deny statement. This statement blocks access from non-temporary credentials, such as a long-term access key of an Alibaba Cloud account or a RAM user. Access attempts that use non-temporary credentials trigger the deny rule. The following example denies all users who do not use temporary access credentials (starting with TMP. or STS.) from viewing the example-bucket bucket and listing its objects.

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition": {
                "StringNotLike": {
                    "acs:AccessId": [
                        "TMP.*",
                        "STS.*"
                 ]
                }
            }
        }
    ]
}

シナリオ2：パブリック ACLの禁止

バケットおよびオブジェクトの ACL がパブリックに設定されないようにするには、2 つの拒否ステートメントを作成します：

• oss:x-oss-acl 条件キーを使用して、バケット ACL を プライベート 以外の権限に設定できないようにする拒否ステートメントを作成します。public-read または public-read-write ACL を設定しようとする操作は、拒否ルールをトリガーします。

• oss:x-oss-object-acl 条件キーを使用して、オブジェクト ACL を プライベート および default 以外の権限に設定できないようにする拒否ステートメントを作成します。

これら 2 つの拒否ステートメントをバケットポリシーに追加すると、いずれかのステートメントの条件に一致するリクエストは拒否されます。次の例では、example-bucket バケットに対してパブリックアクセス ACL を設定する操作を拒否します。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutBucketAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-acl": "private"
                }
            }
        },
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutObjectAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-object-acl": [
                        "private",
                        "default"
                    ]
                }
            }
        }
    ]
}

シナリオ3：ObjectWorm の保持期間の制限

バケットでオブジェクトレベルの保持ポリシー (ObjectWorm) を有効にした後、バケットポリシーを使用して、ユーザーが設定できる保持日数の最大値を制限できます。たとえば、次のポリシーでは、ユーザーが設定できる保持期間の最大値を 30 日に制限します。30 日を超える PutObjectRetention リクエストは拒否されます。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "oss:PutObjectRetention"
      ],
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*"
      ],
      "Condition": {
        "NumericGreaterThan": {
          "oss:object-remaining-retention-days": "30"
        }
      }
    }
  ]
}