Object Storage Service:コントロールポリシー

評価ロジック

メンバーアカウント内の RAM ユーザーまたは RAM ロールが Object Storage Service (OSS) のようなクラウドサービスにアクセスすると、システムはまずコントロールポリシーに対してリクエストを評価します。準拠している場合、システムは次にアカウントの RAM ポリシーを評価して権限付与を決定します。

評価の原則

明示的な拒否が優先されるという原則が、すべての評価レベルで適用されます：

1. 明示的な拒否が優先：Deny (拒否) ルールがリクエストに一致した場合、リクエストは直ちに拒否されます。コントロールポリシーの評価プロセス全体が終了し、システムはアカウント内の RAM ポリシーの評価に進みません。

2. 明示的な許可：特定のレベルで一致する Deny ルールが見つからない場合、システムは一致する Allow (許可) ルールを探します。Allow ルールが存在する場合、そのレベルでの評価は合格となり、親ノードへと続きます。このプロセスはルートフォルダまで繰り返されます。リクエストがルートを含むすべてのレベルで合格した場合、コントロールポリシー全体の評価は成功となり、システムはアカウント内の RAM ポリシーの評価に進みます。

3. 暗黙的な拒否：一致する Deny または Allow ルールが見つからない場合、リクエストは暗黙的に拒否されます。評価は次のレベルに進まず、コントロールポリシーの評価プロセス全体が終了します。システムはアカウント内の RAM ポリシーの評価に進みません。

Alibaba Cloud は、ターゲットアカウントおよびその上位の階層のすべてのレベルにアタッチされたコントロールポリシーを評価します。これにより、上位レベルでアタッチされたポリシーが、その下のすべてのアカウントに適用されることが保証されます。詳細については、「コントロールポリシーの概要」をご参照ください。

ポリシータイプ

• システムコントロールポリシー：表示はできますが変更はできない、組み込みのコントロールポリシーです。コントロールポリシー機能を有効にすると、すべての操作を許可する `FullAliyunAccess` ポリシーがデフォルトでアタッチされます。

• カスタムコントロールポリシー：ユーザーが定義するコントロールポリシーで、作成、変更、削除、およびフォルダやメンバーへのアタッチが可能です。

適用範囲

コントロールポリシーは、リソースディレクトリ内のメンバーアカウントに属するすべての RAM ユーザーおよび RAM ロールに適用されます。サービスリンクロール、メンバーアカウントの root ユーザー、または管理アカウント内のいかなる ID にも影響しません。

ステップ 1：コントロールポリシーの有効化

この操作は一度だけ実行する必要があります。すでにこの機能を有効にしている場合は、このステップをスキップしてください。

1. リソースディレクトリコンソールの コントロールポリシーの有効化 ページに移動します。

2. 制御ポリシーの有効化 をクリックし、選択を確定します。

3. 更新 をクリックしてステータスを確認します。

ステップ 2：カスタムコントロールポリシーの作成

1. リソースディレクトリコンソールの コントロールポリシーの作成 ページに移動します。

2. 設定方法を選択します。

   この例では、パブリックアクセスブロック設定を強制する方法を示します。その他の例については、「一般的な権限付与シナリオ」をご参照ください。

   重要

   拒否ポリシーを適用する前に、メンバーアカウント内の既存リソースがポリシーに準拠していることを確認してください。たとえば、OSS のパブリックアクセスブロックを強制したい場合は、既存のすべてのバケットで パブリックアクセスブロック 機能が有効になっていることを確認してください。

   ビジュアルエディター

   ビジュアルエディター タブで、以下の設定を行います：

   • 効果： [拒否] を選択します。

   • Service：[Object Storage] を選択します

   • 操作：oss:DeleteBucketPublicAccessBlock と oss:PutBucketPublicAccessBlock を選択します

   スクリプトエディター

   スクリプトエディター タブで、以下のポリシー設定を入力します：

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [
           "oss:DeleteBucketPublicAccessBlock",
           "oss:PutBucketPublicAccessBlock"
         ],
         "Resource": "*"
       }
     ]
   }

   説明

   コントロールポリシーは JSON を使用し、Version と Statement の 2 つのコア要素を含みます。Statement は `Effect`、`Action`、`Resource`、および `Condition` 要素で構成されます。`Action` 要素の設定方法の詳細については、「Action」をご参照ください。

3. OK をクリックします。

4. コントロールポリシーの作成 ダイアログボックスで、[名前] と [説明] を入力し、OK をクリックします。

ステップ 3：コントロールポリシーのアタッチ

1. リソースディレクトリコンソールの ディレクトリ管理 ページに移動します。

2. リソース階層ツリーで、ターゲットフォルダをクリックします。

3. ポリシー タブで、ポリシーのアタッチ をクリックします。

4. ポリシーのアタッチ パネルで、アタッチするコントロールポリシーを選択し、OK をクリックします。

ステップ 4：ポリシーの検証

アタッチされると、ポリシーはフォルダ内のすべてのメンバーアカウントに適用されます。パブリックアクセスブロックが強制されるシナリオでは、以下の方法でポリシーの効果を検証できます：

1. 拒否される操作の検証：メンバーアカウントで、既存のバケットのパブリックアクセスブロック機能を無効にしてみてください。この操作はコントロールポリシーによって拒否されるはずです。

2. 作成制限の検証：パブリックアクセスブロックを有効にせずに新しいバケットを作成してみてください。作成リクエストは拒否されるはずです。

3. 階層的な適用の検証：フォルダ内の異なるレベルのメンバーアカウントで同じ操作を実行し、ポリシーが階層全体で適用されていることを確認します。

シナリオ 1：パブリックアクセスブロックの強制

この機能を無効にする、またはこの機能なしでバケットを作成する操作を拒否するコントロールポリシーを使用することで、OSS バケットのパブリックアクセスブロックを強制できます。以下は設定例です：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "oss:DeleteBucketPublicAccessBlock",
        "oss:PutBucketPublicAccessBlock"
      ],
      "Resource": "*"
    }
  ]
}