Object Storage Service:バケットポリシーを使用した権限付与ポリシーの設定

シナリオ 1：指定した RAM ユーザーへの読み書き権限の付与

特定のチームメンバーやパートナーにバケット内のファイルのアップロード、ダウンロード、管理を許可する必要がある場合、バケットポリシーを使用して対応する RAM ユーザーに権限を付与できます。以下のポリシー例では、対象のバケット (example-bucket) に対する読み書き権限を、指定した RAM ユーザー (UID 27737962156157xxxx および 20214760404935xxxx) に付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Allow",
            "Action":[
                "oss:GetObject",
                "oss:PutObject",
                "oss:GetObjectAcl",
                "oss:PutObjectAcl",
                "oss:AbortMultipartUpload",
                "oss:ListParts",
                "oss:RestoreObject",
                "oss:GetVodPlaylist",
                "oss:PostVodPlaylist",
                "oss:PublishRtmpStream",
                "oss:ListObjectVersions",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl",
                "oss:RestoreObjectVersion"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ]
        },
        {
            "Effect":"Allow",
            "Action":[
                "oss:ListObjects"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "*"
                    ]
                }
            }
        }
    ]
}

シナリオ 2：指定したフォルダに対する読み取り専用権限を特定の RAM ユーザーに付与

バケット内の特定のプロジェクトファイルを変更から保護しつつ、関連するプロジェクトメンバーに読み取りを許可する必要がある場合、対応する RAM ユーザーに読み取り専用権限を付与できます。以下のポリシー例では、対象のバケット (example-bucket) 内の指定したフォルダ (プレフィックス hangzhou/2020 および shanghai/2015) に対する読み取り専用権限を、指定した RAM ユーザー (UID 20214760404935xxxx) に付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:GetObject",
                "oss:GetObjectAcl",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/hangzhou/2020/*",
                "acs:oss:*:174649585760xxxx:example-bucket/shanghai/2015/*"
            ]
        },
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "hangzhou/2020/*",
                        "shanghai/2015/*"
                    ]
                }
            },
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 3：指定した RAM ユーザーにバケットの表示とファイルのリスト表示権限を付与

特定のチームメンバーやパートナーにバケットに関するすべての情報を表示し、そのファイルをリスト表示することを許可する必要がある場合、バケットポリシーを使用して対応する権限を RAM ユーザーに付与できます。以下のポリシー例では、指定した RAM ユーザーに、対象のバケット (example-bucket) に関するすべての情報を表示し、その中のファイルをリスト表示する権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 4：指定した RAM ロールにファイルの読み取り権限を付与

RAM ユーザーやアプリケーションにバケットファイルへの一時的なアクセスを許可する必要がある場合、RAM ロールを作成し、必要な権限を付与できます。RAM ユーザーやアプリケーションはそのロールを偽装して一時的なアクセス認証情報を取得し、バケットファイルを読み取ります。以下のポリシー例では、1つの RAM ロール配下のすべてのセッションと、別の RAM ロール配下の特定のセッションに、バケット example-bucket 内のすべてのファイルを読み取る権限を付与します。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:GetObject"
            ],
            "Effect": "Allow",
            "Principal": [
                "arn:sts::10323xxxxx72056:assumed-role/role-name/session-name",
                "arn:sts::10323xxxxx72056:assumed-role/role2-name/*"
            ],
            "Resource": [
                "acs:oss:*:10323xxxxx72056:example-bucket/*"
            ]
        }
    ]
}

シナリオ 5：すべてのビジターにすべてのファイルのリスト表示権限を付与

バケットが公開リソースの共有に使用され、すべてのビジターにファイル名は表示させたいが、実際のファイルコンテンツへのアクセスは許可したくない場合、Principal をワイルドカード文字 (*) に設定し、すべてのファイルをリスト表示する権限を付与できます。以下のポリシー例では、すべてのビジターに、対象のバケット (example-bucket) 内のすべてのファイルをリスト表示する権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 6：パブリックネットワークからのアクセスを制限

特定のバケットへのパブリックネットワークからのアクセスを禁止する必要がある場合、acs:SourceVpc 条件キーを使用してバケットポリシーに拒否ステートメントを作成できます。このステートメントは、VPC からのものではないリクエストをブロックします。なぜなら、パブリックネットワークからのリクエストには一致する VPC ネットワークプレフィックスがないためです。以下のポリシー例では、VPC ネットワーク外のすべてのビジターによる対象のバケット (example-bucket) へのアクセスを拒否します。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "oss:*",
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*",
        "acs:oss:*:174649585760xxxx:example-bucket"
      ],
      "Condition": {
        "StringNotLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

シナリオ 7：指定した VPC へのアクセスを制限

バケットへのアクセスを指定した VPC に制限する必要がある場合、acs:SourceVpc 条件キーを使用してバケットポリシーに拒否ステートメントを作成できます。このステートメントは、他の VPC やパブリックネットワークからのリクエストをブロックします。なぜなら、それらは指定された VPC ID 条件を満たさないためです。以下のポリシー例では、指定した VPC (ID t4nlw426y44rd3iq4xxxx) 外のすべてのビジターによる対象のバケット (example-bucket) 内のファイルの読み取りを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

シナリオ 8：指定したパブリック IP アドレスへのアクセスを制限

バケットへのアクセスを指定したパブリック IP アドレスに制限する必要がある場合、acs:SourceIp 条件キーを使用してバケットポリシーに拒否ステートメントを作成します。このステートメントは、他のパブリック IP アドレスや VPC からのリクエストをブロックします。なぜなら、それらは指定された IP アドレス条件を満たさないためです。以下のポリシー例では、パブリック IP アドレス 203.0.113.5 からのビジターを除くすべてのビジターによる example-bucket からの読み取りを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "203.0.113.5"
                    ]
                }
            }
        }
    ]
}

シナリオ 9：指定した VPC 内の特定の CIDR ブロックへのアクセスを制限

バケットへのアクセスを指定した VPC 内の特定の CIDR ブロックに制限する必要がある場合、2つの拒否ステートメントを作成する必要があります：

• acs:SourceVpc 条件キーを使用して、他の VPC やパブリックネットワークからのリクエストをブロックする拒否ステートメントを作成します。

• acs:SourceIp と acs:SourceVpc 条件キーを使用して、VPC 内の指定した CIDR ブロック外からのリクエストをブロックする拒否ステートメントを作成します。

これら2つの拒否ステートメントをバケットポリシーに追加すると、いずれかの条件を満たすリクエストは拒否されます。以下のポリシー例では、指定した VPC (ID t4nlw426y44rd3iq4xxxx) の指定した CIDR ブロック (192.168.0.0/16) 外のすべてのビジターによる対象のバケット (example-bucket) 内のファイルの読み取りを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "192.168.0.0/16"
                    ]
                }
            }
        }
    ]
}

シナリオ 10：指定したパブリック IP アドレスまたは指定した VPC へのアクセスを制限

バケットへのアクセスを指定したパブリック IP アドレスまたは指定した VPC に制限する必要がある場合、2つの拒否ステートメントを作成する必要があります：

• acs:SourceIp 条件キーを使用して他のパブリック IP アドレスからのリクエストをブロックする拒否ステートメント。このステートメントは、StringNotLike 条件オペレーターと acs:SourceVpc 条件キーを使用して、任意の VPC からのリクエストをブロックしないようにします。

• acs:SourceVpc 条件キーを使用して、他の VPC からのリクエストをブロックする拒否ポリシーステートメントを作成できます。同じステートメントで、StringLike 条件オペレーターと acs:SourceVpc キーを使用して、指定したパブリック IP アドレスからのリクエストを除外します。これにより、これらのパブリック IP アドレスからのリクエストが、指定した VPC からのものではないという理由で誤って拒否されるのを防ぎます。

これら2つの拒否ステートメントをバケットポリシーに追加すると、いずれかの条件を満たすリクエストは拒否されます。以下のポリシー例では、指定したパブリック IP アドレス (203.0.113.5) または指定した VPC (ID t4nlw426y44rd3iq4xxxx) 外のすべてのビジターによる対象のバケット (example-bucket) 内のファイルの読み取りを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "203.0.113.5"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

シナリオ 11：IP ブラックリストの設定

特定の IP アドレスからのバケットおよびそのオブジェクトへのアクセスを拒否する必要がある場合、IP ブラックリストポリシーを使用できます。バケットポリシーに拒否ポリシーを設定することで、指定した IP アドレスまたは CIDR ブロックからのすべてのアクセスリクエストをブロックできます。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "oss:*",
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*",
        "acs:oss:*:174649585760xxxx:example-bucket"
      ],
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": [
            "101.***.***.100"
          ]
        }
      }
    }
  ]
}

シナリオ 12：API 呼び出しに一時的なアクセス認証情報を要求

API 呼び出しに一時的なアクセス認証情報の使用を要求するには、acs:AccessId 条件キーを使用してバケットポリシーに拒否ステートメントを作成できます。このステートメントは、Alibaba Cloud アカウントや RAM ユーザーの長期的な AccessKey ペアなど、一時的でない認証情報を使用するアクセス方法をブロックします。一時的でない認証情報を使用したアクセス試行は、拒否ルールをトリガーします。以下のポリシー例では、一時的なアクセス認証情報 (TMP. または STS. で始まる) を使用するビジターを除くすべてのビジターによる対象のバケット (example-bucket) の表示とそのファイルのリスト表示を拒否します。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition": {
                "StringNotLike": {
                    "acs:AccessId": [
                        "TMP.*",
                        "STS.*"
                 ]
                }
            }
        }
    ]
}

シナリオ 13：バケットとオブジェクトの ACL を公開に設定することを禁止

バケットとオブジェクトの ACL を公開に設定することを禁止する必要がある場合、2つの拒否ステートメントを作成する必要があります：

• oss:x-oss-acl 条件キーを使用して、バケット ACL が private 以外の権限に設定されるのを防ぐ拒否ステートメントを作成します。公開読み取りまたは公開読み書き権限を設定しようとすると、権限が非公開ではないため、拒否ルールがトリガーされます。

• oss:x-oss-object-acl 条件キーを使用して、オブジェクト ACL が private および default 以外の権限に設定されるのを防ぐ拒否ステートメントを作成します。

これら2つの拒否ステートメントをバケットポリシーに追加すると、いずれかの条件を満たすリクエストは拒否されます。以下のポリシー例では、対象のバケット (example-bucket) に公開アクセス権限を設定する操作を拒否します。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutBucketAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-acl": "private"
                }
            }
        },
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutObjectAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-object-acl": [
                        "private",
                        "default"
                    ]
                }
            }
        }
    ]
}