Object Storage Service:VPC ポリシーとバケットポリシーによる二重のアクセス制御

ステップ1：VPC ポリシーの設定

VPC vpc-t4nlw426y44rd3iq4xxxx に対して、example-bucket へのアクセスを制限するエンドポイントポリシーを作成します。

1. VPC コンソールに移動します。左側のナビゲーションペインで、エンドポイント をクリックします。

2. エンドポイントの作成 をクリックし、以下の設定を行います。

   初めてエンドポイントを使用する場合は、まず エンドポイントサービスの有効化 する必要があります。

   • [リージョン]：VPC があるリージョンを選択します。例：シンガポール

   • [エンドポイント名]：エンドポイントの名前を入力します。

   • [エンドポイントタイプ]：ゲートウェイ を選択します。

   • [エンドポイントサービス]：Alibaba Cloud サービス を選択し、次に OSS エンドポイントサービスを選択します。サービス名は oss で終わります。

   • [VPC]：対象の VPC を選択します。

   • [ルートテーブル]：対象のルートテーブルを選択します。

   • [アクセスポリシー]：エディターに次のポリシーを入力します。

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": "oss:*",
           "Principal": [
             "20655703638807****"
           ],
           "Resource": [
             "acs:oss:*:*:example-bucket",
             "acs:oss:*:*:example-bucket/*"
           ]
         }
       ]
     }

3. 設定を確認し、OK をクリックします。

ステップ2：バケットポリシーの設定

vpc-t4nlw426y44rd3iq4xxxx を除くすべての VPC からの OSS アクセスを拒否するバケットポリシーを設定します。

1. バケットのリストに移動し、対象のバケットをクリックします。

2. バケットの左側のナビゲーションペインで、権限管理 > バケット承認ポリシー をクリックします。

3. 構文で追加 を選択し、編集 をクリックして、次のポリシーを入力します。

   {
     "Statement": [
       {
         "Action": [
           "oss:*"
         ],
         "Effect": "Deny",
         "Principal": [
           "20655703638807****"
         ],
         "Resource": "acs:oss:*:*:*",
         "Condition": {
           "StringNotEquals": {
             "acs:SourceVpc": [
               "vpc-t4nlw426y44rd3iq4xxxx"
             ]
           }
         }
       }
     ],
     "Version": "1"
   }

   acs:SourceVpc の値は、「前提条件」で説明したように、VPC コンソールから取得した対象の VPC ID です。ご自身の VPC ID に置き換えてください。

4. ポリシーを確認し、設定 をクリックして、画面の指示に従ってください。

ステップ3：アクセス制御の検証

ossutil を使用して設定を検証します。ossutil 2.0 をダウンロードし、RAM ユーザーの AccessKey と内部エンドポイントで設定します。たとえば、oss-ap-southeast-1-internal.aliyuncs.com を使用します。

ossutil ls oss://example-bucket/

ossutil ls oss://other-bucket/

ossutil ls oss://example-bucket/