Object Storage Service:VPC ポリシーとバケットポリシーによる二重アクセス制御

手順 1：VPC ポリシーの構成

ID が vpc-t4nlw426y44rd3iq4xxxx の VPC に対してエンドポイントポリシーを作成し、OSS 内の example-bucket 内のリソースにのみアクセスできるように制限します。

1. VPC コンソールに移動します。左側のナビゲーションウィンドウで、エンドポイント をクリックします。

2. エンドポイントの作成 をクリックし、以下の設定でエンドポイントを構成します。

   エンドポイントを初めて使用する場合は、事前に エンドポイントサービスの有効化 を行ってください。

   • リージョン：VPC が配置されているリージョン（例：シンガポール）を選択します。

   • エンドポイント名：エンドポイントの名前を入力します。

   • エンドポイントタイプ：ゲートウェイ を選択します。

   • エンドポイントサービス：Alibaba Cloud サービス を選択し、リストから OSS エンドポイントサービスを選択します。サービス名は oss で終わります。

   • VPC：対象の VPC を選択します。

   • ルートテーブル：対象のルートテーブルを選択します。

   • アクセスポリシー：エディターに以下のポリシーを入力します。

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": "oss:*",
           "Principal": [
             "20655703638807****"
           ],
           "Resource": [
             "acs:oss:*:*:example-bucket",
             "acs:oss:*:*:example-bucket/*"
           ]
         }
       ]
     }

3. 構成内容を確認後、OK をクリックします。

手順 2：バケットポリシーの構成

バケットポリシーを構成し、vpc-t4nlw426y44rd3iq4xxxx 以外の VPC からの OSS リソースへのアクセスリクエストを拒否します。

1. バケット リストに移動し、対象のバケットをクリックします。

2. バケットの左側ナビゲーションウィンドウで、権限管理 > バケット承認ポリシー をクリックします。

3. 構文で追加 を選択し、編集 をクリックして、エディターに以下のポリシーを入力します。

   {
     "Statement": [
       {
         "Action": [
           "oss:*"
         ],
         "Effect": "Deny",
         "Principal": [
           "20655703638807****"
         ],
         "Resource": "acs:oss:*:*:*",
         "Condition": {
           "StringNotEquals": {
             "acs:SourceVpc": [
               "vpc-t4nlw426y44rd3iq4xxxx"
             ]
           }
         }
       }
     ],
     "Version": "1"
   }

4. ポリシーが正しいことを確認後、設定 をクリックし、画面の指示に従います。

手順 3：アクセス制御の検証

このセクションでは、ossutil コマンドラインツールを使用して、二重アクセス制御の構成を検証する方法を説明します。コマンドを実行する前に、ossutil 2.0 をダウンロードし、RAM ユーザーの AccessKey および内部エンドポイントアドレスで構成してください。たとえば、oss-ap-southeast-1-internal.aliyuncs.com を使用します。

ossutil ls oss://example-bucket/

ossutil ls oss://other-bucket/

ossutil ls oss://example-bucket/