Object Storage Service:バケットポリシー

シナリオ 1：読み書き権限の付与

チームメンバーまたはパートナーにバケットへの読み書きアクセス権限を付与します。この例では、RAM ユーザー 27737962156157xxxx および 20214760404935xxxx に対して example-bucket の読み書き権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Allow",
            "Action":[
                "oss:GetObject",
                "oss:PutObject",
                "oss:GetObjectAcl",
                "oss:PutObjectAcl",
                "oss:AbortMultipartUpload",
                "oss:ListParts",
                "oss:RestoreObject",
                "oss:GetVodPlaylist",
                "oss:PostVodPlaylist",
                "oss:PublishRtmpStream",
                "oss:ListObjectVersions",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl",
                "oss:RestoreObjectVersion"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ]
        },
        {
            "Effect":"Allow",
            "Action":[
                "oss:ListObjects"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "*"
                    ]
                }
            }
        }
    ]
}

シナリオ 2：特定のディレクトリへの読み取り専用権限の付与

特定のディレクトリへの読み取り専用アクセスを許可します。この例では、RAM ユーザー 20214760404935xxxx に対して、example-bucket 内のプレフィックスが hangzhou/2020 および shanghai/2015 のディレクトリに読み取り専用権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:GetObject",
                "oss:GetObjectAcl",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/hangzhou/2020/*",
                "acs:oss:*:174649585760xxxx:example-bucket/shanghai/2015/*"
            ]
        },
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "hangzhou/2020/*",
                        "shanghai/2015/*"
                    ]
                }
            },
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 3：表示および一覧表示権限の付与

ユーザーがバケット情報を表示し、オブジェクトを一覧表示できるようにします。この例では、RAM ユーザーに example-bucket の表示および一覧表示権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 4：RAM ロールへの読み取り権限の付与

RAM ロールを通じてバケットオブジェクトへの一時的なアクセスを許可します。RAM ユーザーまたはアプリケーションがロールを偽装して一時的な認証情報を取得します。この例では、1 つの RAM ロールのすべてのセッションおよび別の RAM ロールの特定のセッションに対して、example-bucket 内のすべてのオブジェクトの読み取り権限を付与します。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:GetObject"
            ],
            "Effect": "Allow",
            "Principal": [
                "arn:sts::10323xxxxx72056:assumed-role/role-name/session-name",
                "arn:sts::10323xxxxx72056:assumed-role/role2-name/*"
            ],
            "Resource": [
                "acs:oss:*:10323xxxxx72056:example-bucket/*"
            ]
        }
    ]
}

シナリオ 5：すべてのユーザーへの一覧表示権限の付与

すべてのユーザーがオブジェクトを一覧表示できるようにしますが、コンテンツへのアクセスは許可しません。この例では、すべてのユーザー (*) に対して example-bucket の一覧表示権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 6：AccessKey ペアなしで ECS インスタンスから内部ネットワーク経由で OSS にアクセス

同一リージョン内の ECS インスタンスから内部エンドポイント経由で OSS にアクセスする場合、送信先バケットの読み書き権限によって、追加の権限付与が必要かどうかが異なります。

• public-read バケット：ECS インスタンスは、追加のバケットポリシー設定なしで、内部 URL 経由で直接バケットにアクセスできます。

• private バケット：ECS インスタンスが配置されている VPC からのアクセスリクエストを許可するように、acs:SourceVpc 条件キーを使用したバケットポリシーを設定する必要があります。

内部 URL の形式は次のとおりです。bucketname は送信先バケットの名前に、<region> はバケットが配置されているリージョン（例：cn-hangzhou）に置き換えてください。

https://bucketname.oss-<region>-internal.aliyuncs.com/objectname

次のコマンドを実行して、内部ネットワークアクセスが期待どおりに機能することを確認します。

curl -I https://bucketname.oss-<region>-internal.aliyuncs.com/objectname

応答が 403 AccessDenied を返す場合、現在の ECS インスタンスの VPC がバケットポリシーで権限付与されていません。次の手順でトラブルシューティングを行ってください。

1. バケットページに移動し、送信先バケットをクリックします。

2. 左側のナビゲーションウィンドウで、アクセスの制御 > バケットポリシー をクリックし、新規権限 をクリックします。

3. 権限付与条件を設定します。VPC = を選択し、ECS インスタンスが配置されている VPC を指定します。

4. 権限付与内容を確認後、OK をクリックしてバケットポリシーを適用します。

5. ECS インスタンスがパブリックエンドポイントではなく、内部エンドポイント経由でリクエストを送信していることを確認します。

6. curl コマンドを再度実行して検証します。応答が依然として 403 を返す場合は、バケットポリシーの VPC 条件で設定された VPC ID が ECS インスタンスの VPC ID と一致しているか確認してください。

シナリオ 1：パブリックネットワークアクセスの制限

acs:SourceVpc 条件キーを使用して拒否ステートメントを追加することで、バケットへのすべてのパブリックネットワークアクセスをブロックします。このステートメントは、VPC 以外から送信されたリクエストを拒否します。次の例では、example-bucket へのすべての非 VPC アクセスを拒否します。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "oss:*",
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*",
        "acs:oss:*:174649585760xxxx:example-bucket"
      ],
      "Condition": {
        "StringNotLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

シナリオ 2：特定の VPC へのアクセス制限

acs:SourceVpc 条件キーを使用して、バケットへのアクセスを特定の VPC に制限します。このステートメントは、他の VPC またはパブリックネットワークからのリクエストをブロックします。次の例では、VPC t4nlw426y44rd3iq4xxxx の外部のすべてのユーザーが example-bucket のオブジェクトを読み取ることを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

シナリオ 3：特定のパブリック IP アドレスへのアクセス制限

バケットへのアクセスを特定のパブリック IP アドレスに制限するには、次の 2 つの拒否ステートメントを作成します。

• ステートメント 1（指定されていない IP アドレスからのパブリックネットワークリクエストを拒否）：このステートメントは、StringNotLike: {"acs:SourceVpc": "vpc-*"} を使用してパブリックネットワークリクエストを識別します（パブリックネットワークリクエストの acs:SourceVpc 値は vpc- で始まりません）。次に、NotIpAddress: {"acs:SourceIp": "..."} を使用して、指定された IP アドレス以外からのリクエストを拒否します。両方の条件が満たされた場合に拒否アクションがトリガーされます。

• ステートメント 2（すべての VPC リクエストを拒否）：このステートメントは、StringLike: {"acs:SourceVpc": "vpc-*"} を使用して、任意の VPC からのすべてのリクエストを一致させて拒否します。目的は指定されたパブリック IP アドレスからのアクセスのみを許可するためです。

いずれかのステートメントに一致するリクエストは拒否されます。次の例では、パブリック IP 203.0.113.5 以外のすべてのユーザーが example-bucket への読み取りアクセスを拒否されます。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": [
      "oss:GetObject"
    ],
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*"
    ],
    "Condition": {
      "NotIpAddress": {
        "acs:SourceIp": [
          "203.0.113.5"
        ]
      },
      "StringNotLike": {
        "acs:SourceVpc": [
          "vpc-*"
        ]
      }
    }
  },
    {
      "Effect": "Deny",
      "Action": [
        "oss:GetObject"
      ],
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*"
      ],
      "Condition": {
        "StringLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

シナリオ 4：VPC 内の IP 範囲へのアクセス制限

バケットへのアクセスを特定の VPC 内の特定の IP 範囲に制限するには、次の 2 つの拒否ステートメントを作成します。

• ステートメント 1（指定された VPC の外部からのすべてのリクエストを拒否）：このステートメントは、StringNotEquals: {"acs:SourceVpc": "..."} を使用して、他の VPC およびパブリックネットワークからのリクエストを拒否します。

• ステートメント 2（VPC 内の指定された IP 範囲の外部からのリクエストを拒否）：このステートメントは、StringEquals: {"acs:SourceVpc": "..."} を使用して、指定された VPC からのリクエストを一致させ、次に NotIpAddress: {"acs:SourceIp": "..."} を使用して、指定された IP アドレス範囲の外部からのリクエストを拒否します。両方の条件が満たされた場合に拒否アクションがトリガーされます。

いずれかのステートメントに一致するリクエストは拒否されます。次の例では、VPC t4nlw426y44rd3iq4xxxx 内の 192.168.0.0/16 範囲以外のすべてのユーザーが example-bucket への読み取りアクセスを拒否されます。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "192.168.0.0/16"
                    ]
                }
            }
        }
    ]
}

シナリオ 5：パブリック IP または VPC へのアクセス制限

バケットへのアクセスを特定のパブリック IP または特定の VPC に制限するには、次の 2 つの拒否ステートメントを作成します。

• ステートメント 1（パブリックネットワークリクエストの場合、指定されていない IP を拒否）：このステートメントは、StringNotLike: {"acs:SourceVpc": "vpc-*"} を使用してパブリックネットワークリクエストを識別し、次に NotIpAddress: {"acs:SourceIp": "..."} を使用して、指定されていないパブリック IP アドレスからのリクエストを拒否します。両方の条件が満たされた場合に拒否アクションがトリガーされます。VPC リクエストは、その acs:SourceVpc 値が vpc- で始まるため、このステートメントには一致しません。

• ステートメント 2（VPC リクエストの場合、指定されていない VPC を拒否）：このステートメントは、StringLike: {"acs:SourceVpc": "vpc-*"} を使用して VPC リクエストを識別し、次に StringNotEquals: {"acs:SourceVpc": "..."} を使用して、指定されていない VPC からのリクエストを拒否します。両方の条件が満たされた場合に拒否アクションがトリガーされます。パブリックネットワークリクエストは、その acs:SourceVpc 値が vpc- で始まらないため、このステートメントには一致しません。

いずれかのステートメントに一致するリクエストは拒否されます。次の例では、パブリック IP 203.0.113.5 または VPC t4nlw426y44rd3iq4xxxx 以外のすべてのユーザーが example-bucket への読み取りアクセスを拒否されます。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "203.0.113.5"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

シナリオ 6: IP ブラックリストを設定する

特定の IP アドレスまたはアドレス範囲からのアクセスをブロックするには、バケットポリシーに拒否ステートメントを追加します。

StringLike: {"acs:SourceVpc": "*"} 条件は、ワイルドカードを使用してすべての値に一致させ、VPC の範囲を制限しません。これは、acs:SourceIp に対応する acs:SourceVpc 条件が必要という制約を満たすためだけに存在します。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": "oss:*",
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*",
      "acs:oss:*:174649585760xxxx:example-bucket"
    ],
    "Condition": {
      "IpAddress": {
        "acs:SourceIp": [
          "101.***.***.100"
        ]
      },
      "StringLike": {
        "acs:SourceVpc": [
          "*"
        ]
      }
    }
  }]
}

シナリオ 7：特定の IP アドレスからのダウンロード操作の拒否

特定の IP アドレスがバケット内のオブジェクトをダウンロード (GetObject) および一覧表示 (ListObjects) することを拒否しながら、その IP アドレスがオブジェクトをアップロード (PutObject) することを引き続き許可するには、Deny ステートメントの Action を GetObject および ListObjects のみに限定します。シナリオ 6 の IP ブラックリストとは異なり、oss:* を拒否するのではなく、このポリシーはダウンロードタイプの操作のみを拒否するため、アップロードは影響を受けません。

StringLike: {"acs:SourceVpc": "*"} 条件は、ワイルドカードを使用してすべての値に一致させ、VPC の範囲を制限しません。これは、acs:SourceIp に対応する acs:SourceVpc 条件が必要という制約を満たすためだけに存在します。

次の Deny ステートメントの Principal がワイルドカード (*) に設定されており、ステートメントに Condition が含まれているため、この Deny ステートメントはバケットオーナーを含むすべてのリクエスターに適用されます。

複数の IP アドレスおよび IP アドレス範囲を設定できます。カンマで区切ってください。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": [
      "oss:GetObject",
      "oss:ListObjects"
    ],
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*",
      "acs:oss:*:174649585760xxxx:example-bucket"
    ],
    "Condition": {
      "IpAddress": {
        "acs:SourceIp": [
          "101.***.***.100"
        ]
      },
      "StringLike": {
        "acs:SourceVpc": [
          "*"
        ]
      }
    }
  }]
}

このポリシーが有効になると、拒否された IP アドレスからの GetObject および ListObjects リクエストは 403 AccessDenied を返しますが、PutObject リクエストは影響を受けません。

シナリオ 8：クラシックネットワークアクセスの設定

oss:ClassicIntranet 条件キーは、リクエストが OSS クラシックネットワークから送信されたかどうかを示します。有効な値は true および false です。一部の OSS バックエンドサービス（ログデリバリーやバケットインベントリなど）は、クラシックネットワーク経由でバケットにアクセスします。次の条件を使用して、クラシックネットワークからのリクエストを一致させます。

"Condition": {
    "StringEquals": {
        "oss:ClassicIntranet": [
            "true"
        ]
    }
}

ネットワークアクセス制限（Deny ポリシー）を設定する際、上記のバックエンドサービスを許可するために、Deny ステートメントの Condition ブロックに次の条件を追加して、クラシックネットワークリクエストを除外し、意図しないブロッキングを回避します。

"StringNotEquals": {
    "oss:ClassicIntranet": [
        "true"
    ]
}

シナリオ 9：特定の IP アドレスに読み書き権限を付与し、他のすべての IP アドレスに読み取り専用権限を付与

特定の IP アドレス範囲からのリクエストに読み書き権限を付与し、他のすべての IP アドレスからのリクエストに読み取り専用権限を付与するには、2 つの 許可する ステートメントが必要です。acs:SourceIp 条件キーのみを使用する単一のステートメントは保存できません。OSS では、acs:SourceVpc 条件キーを acs:SourceIp と一緒に指定する必要があるためです。次の例では、2 つのステートメントを組み合わせて、この差別化された権限付与を実現します。

• ステートメント 1 は、IP アドレス範囲 192.168.0.0/16 からのリクエストに対して example-bucket の読み書き権限を付与します。

• ステートメント 2 は、条件なしで任意の IP アドレスからのリクエストに対して example-bucket の読み取り専用権限を付与します。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oss:GetObject",
                "oss:PutObject",
                "oss:ListObjects"
            ],
            "Resource": [
                "acs:oss:*:*:examplebucket",
                "acs:oss:*:*:examplebucket/*"
            ],
            "Condition": {
                "IpAddress": {
                    "acs:SourceIp": [
                        "192.168.0.0/16"
                    ]
                },
                "StringNotLike": {
                    "acs:SourceVpc": [
                        "vpc-*"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "oss:GetObject",
                "oss:ListObjects"
            ],
            "Resource": [
                "acs:oss:*:*:examplebucket",
                "acs:oss:*:*:examplebucket/*"
            ]
        }
    ]
}

複数のステートメントが共存する場合の完全検証

バケットに複数のポリシーステートメントが含まれる場合、いずれかのステートメントを追加または変更すると、ポリシー内のすべてのステートメントに対して完全検証がトリガーされます。acs:SourceIp 条件キーを含むすべてのステートメントには、acs:SourceVpc 条件キーも含まれている必要があります。そうでない場合、PutBucketPolicy 操作は失敗し、エラーコード 0030-00000008 を返します。

トラブルシューティング手順：

1. GetBucketPolicy を呼び出して、バケットの現在のポリシー内のすべてのステートメントを取得します。

2. 各ステートメントの Condition 要素を確認し、acs:SourceIp を含むすべてのステートメントに acs:SourceVpc も含まれていることを検証します。

3. ステップ 2 で特定されたステートメントに不足している acs:SourceVpc 条件を追加し、PutBucketPolicy を再度呼び出してポリシーを再提出します。

シナリオ 1：API 呼び出しに一時的な認証情報の必須化

API 呼び出しに一時的なアクセス認証情報の使用を必須化します。このポリシーは、acs:AccessId 条件キーを使用して、長期認証情報（Alibaba Cloud アカウントまたは RAM ユーザーのアクセスキー）からのアクセスをブロックします。次の例では、一時的な認証情報（TMP. または STS. で始まるもの）を持たないすべてのユーザーが example-bucket を表示およびそのオブジェクトを一覧表示することを拒否します。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition": {
                "StringNotLike": {
                    "acs:AccessId": [
                        "TMP.*",
                        "STS.*"
                 ]
                }
            }
        }
    ]
}

シナリオ 2：パブリック ACL の禁止

バケットおよびオブジェクトの ACL がパブリックに設定されることを防止します。次の 2 つの拒否ステートメントを作成します。

• oss:x-oss-acl 条件キーを使用して、バケット ACL が private 以外の権限に設定されることを防止する拒否ステートメントを作成します。公開読み取りまたは公開読み書き ACL を設定しようとすると、拒否ルールがトリガーされます。

• oss:x-oss-object-acl 条件キーを使用して、オブジェクト ACL が private および default 以外の権限に設定されることを防止する拒否ステートメントを作成します。

いずれかのステートメントに一致するリクエストは拒否されます。次の例では、example-bucket に対するパブリック ACL 操作を拒否します。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutBucketAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-acl": "private"
                }
            }
        },
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutObjectAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-object-acl": [
                        "private",
                        "default"
                    ]
                }
            }
        }
    ]
}

シナリオ 3：ObjectWorm 保持期間の制限

バケットに対してオブジェクトレベルの保持ポリシー（ObjectWorm）を有効化した後、バケットポリシーを使用して最大保持期間を制限できます。次の例では、保持期間を 30 日に制限します。30 日を超える PutObjectRetention リクエストは拒否されます。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "oss:PutObjectRetention"
      ],
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*"
      ],
      "Condition": {
        "NumericGreaterThan": {
          "oss:object-remaining-retention-days": "30"
        }
      }
    }
  ]
}