Object Storage Service:バケットポリシー

シナリオ 1：読み取り/書き込み権限の付与

チームメンバーまたはパートナーに、バケットへの読み取り/書き込みアクセスを付与します。この例では、example-bucket に対する読み取り/書き込み権限を、RAM ユーザー 27737962156157xxxx と 20214760404935xxxx に付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Allow",
            "Action":[
                "oss:GetObject",
                "oss:PutObject",
                "oss:GetObjectAcl",
                "oss:PutObjectAcl",
                "oss:AbortMultipartUpload",
                "oss:ListParts",
                "oss:RestoreObject",
                "oss:GetVodPlaylist",
                "oss:PostVodPlaylist",
                "oss:PublishRtmpStream",
                "oss:ListObjectVersions",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl",
                "oss:RestoreObjectVersion"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ]
        },
        {
            "Effect":"Allow",
            "Action":[
                "oss:ListObjects"
            ],
            "Principal":[
                "27737962156157xxxx",
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "*"
                    ]
                }
            }
        }
    ]
}

シナリオ 2：特定のディレクトリへの読み取り専用権限の付与

特定のディレクトリへの読み取り専用アクセスを付与します。この例では、example-bucket 内で、プレフィックスが hangzhou/2020 および shanghai/2015 のディレクトリに対する読み取り専用権限を、RAM ユーザー 20214760404935xxxx に付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:GetObject",
                "oss:GetObjectAcl",
                "oss:GetObjectVersion",
                "oss:GetObjectVersionAcl"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/hangzhou/2020/*",
                "acs:oss:*:174649585760xxxx:example-bucket/shanghai/2015/*"
            ]
        },
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Condition":{
                "StringLike":{
                    "oss:Prefix":[
                        "hangzhou/2020",
                        "shanghai/2015"
                    ]
                }
            },
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 3：表示および一覧表示権限の付与

ユーザーに、バケット情報の表示とオブジェクトの一覧表示を許可します。この例では、RAM ユーザーに example-bucket の表示および一覧表示権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "20214760404935xxxx"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 4：RAM ロールへの読み取り権限の付与

RAM ロールを使用して、バケット内のオブジェクトへの一時的なアクセスを付与します。RAM ユーザーまたはアプリケーションはロールを引き受けて、一時的な認証情報を取得します。この例では、1 つの RAM ロール配下のすべてのセッションと、別の RAM ロール配下の特定のセッションに対して、example-bucket 内のすべてのオブジェクトへの読み取り権限を付与します。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:GetObject"
            ],
            "Effect": "Allow",
            "Principal": [
                "arn:sts::10323xxxxx72056:assumed-role/role-name/session-name",
                "arn:sts::10323xxxxx72056:assumed-role/role2-name/*"
            ],
            "Resource": [
                "acs:oss:*:10323xxxxx72056:example-bucket/*"
            ]
        }
    ]
}

シナリオ 5：すべてのユーザーへの一覧表示権限の付与

オブジェクトの内容にアクセスせずに、すべてのユーザーにオブジェクトの一覧表示を許可します。この例では、すべてのユーザー (*) に example-bucket の一覧表示権限を付与します。

{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Effect":"Allow",
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket"
            ]
        }
    ]
}

シナリオ 1：パブリックネットワークアクセスの制限

acs:SourceVpc 条件キーを持つ deny ステートメントを追加することで、バケットへのすべてのパブリックネットワークアクセスをブロックできます。このステートメントは、VPC から発信されていないリクエストを拒否します。次の例では、example-bucket への VPC 以外からのすべてのアクセスを拒否します。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "oss:*",
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*",
        "acs:oss:*:174649585760xxxx:example-bucket"
      ],
      "Condition": {
        "StringNotLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

シナリオ 2：特定の VPC へのアクセスの制限

acs:SourceVpc 条件キーを使用して、特定の VPC へのバケットアクセスを制限します。 このステートメントは、他の VPC またはパブリックネットワークからのリクエストをブロックします。 次の例では、VPC t4nlw426y44rd3iq4xxxx の外部にいるすべてのユーザーによる example-bucket 内のオブジェクトの読み取りを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

シナリオ 3：特定のパブリック IP アドレスへのアクセスの制限

バケットへのアクセスを特定のパブリック IP アドレスに制限するには、2 つの Deny ステートメントを作成します。

• ステートメント 1 (不特定の IP アドレスからのパブリックネットワークリクエストを拒否): このステートメントは、StringNotLike: {"acs:SourceVpc": "vpc-*"} を使用してパブリックネットワークリクエストを識別します (パブリックネットワークリクエストの場合、acs:SourceVpc の値は vpc- で始まりません)。 さらに、NotIpAddress: {"acs:SourceIp": "..."} を使用して、指定された IP アドレス以外からのリクエストを拒否します。 両方の条件が満たされた場合に、拒否アクションがトリガーされます。

• ステートメント 2 (すべての VPC リクエストを拒否): このステートメントは、指定されたパブリック IP アドレスからのみアクセスを許可することを目的としているため、StringLike: {"acs:SourceVpc": "vpc-*"} を使用して、任意の VPC からのすべてのリクエストを照合し、拒否します。

いずれかのステートメントに一致するリクエストは拒否されます。次の例では、パブリック IP 203.0.113.5 からのユーザーを除くすべてのユーザーに対して、example-bucket への読み取りアクセスを拒否します。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": [
      "oss:GetObject"
    ],
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*"
    ],
    "Condition": {
      "NotIpAddress": {
        "acs:SourceIp": [
          "203.0.113.5"
        ]
      },
      "StringNotLike": {
        "acs:SourceVpc": [
          "vpc-*"
        ]
      }
    }
  },
    {
      "Effect": "Deny",
      "Action": [
        "oss:GetObject"
      ],
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*"
      ],
      "Condition": {
        "StringLike": {
          "acs:SourceVpc": [
            "vpc-*"
          ]
        }
      }
    }
  ]
}

シナリオ 4：VPC 内の IP 範囲へのアクセスの制限

バケットへのアクセスを特定の VPC 内の特定の IP 範囲に制限するには、2 つの Deny ステートメントを作成します。

• ステートメント 1 (指定された VPC 外部からのすべてのリクエストを拒否)：このステートメントは StringNotEquals: {"acs:SourceVpc": "..."} を使用して、他の VPC およびパブリックネットワークからのリクエストを拒否します。

• ステートメント 2 (VPC 内の指定された IP 範囲外からのリクエストを拒否): このステートメントは、StringEquals: {"acs:SourceVpc": "..."} を使用して指定された VPC からのリクエストに一致させ、次に NotIpAddress: {"acs:SourceIp": "..."} を使用して指定された IP アドレス範囲外からのリクエストを拒否します。両方の条件が満たされると、拒否アクションがトリガーされます。

いずれかのステートメントに一致するリクエストは拒否されます。 次の例では、VPC t4nlw426y44rd3iq4xxxx 内の 192.168.0.0/16 の範囲のユーザーを除くすべてのユーザーからの example-bucket への読み取りアクセスを拒否します。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "192.168.0.0/16"
                    ]
                }
            }
        }
    ]
}

シナリオ 5：パブリック IP または VPC へのアクセスの制限

バケットへのアクセスを特定のパブリック IP または特定の VPC に制限するには、2 つの Deny ステートメントを作成します。

• ステートメント 1 (パブリックネットワークリクエストに対し、未指定の IP を拒否): このステートメントは、StringNotLike: {"acs:SourceVpc": "vpc-*"} を使用してパブリックネットワークリクエストを識別し、次に NotIpAddress: {"acs:SourceIp": "..."} を使用して未指定のパブリック IP アドレスからのリクエストを拒否します。両方の条件が満たされた場合に、拒否アクションがトリガーされます。VPC リクエストは、その acs:SourceVpc の値が vpc- で始まるため、このステートメントに一致しません。

• ステートメント 2 (VPC リクエストの場合、未指定の VPC を拒否): このステートメントは、StringLike: {"acs:SourceVpc": "vpc-*"} を使用して VPC リクエストを識別し、次に StringNotEquals: {"acs:SourceVpc": "..."} を使用して未指定の VPC からのリクエストを拒否します。両方の条件が満たされたときに、拒否アクションがトリガーされます。パブリックネットワークリクエストは、その acs:SourceVpc 値が vpc- で始まらないため、このステートメントには一致しません。

いずれかのステートメントに一致する場合、リクエストは拒否されます。 次の例では、パブリック IP 203.0.113.5 または VPC t4nlw426y44rd3iq4xxxx からのユーザーを除き、すべてのユーザーの example-bucket への読み取りアクセスが拒否されます。

{
    "Version":"1",
    "Statement":[
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringNotLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "NotIpAddress":{
                    "acs:SourceIp":[
                        "203.0.113.5"
                    ]
                }
            }
        },
        {
            "Effect":"Deny",
            "Action":[
                "oss:GetObject"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition":{
                "StringLike":{
                    "acs:SourceVpc":[
                        "vpc-*"
                    ]
                },
                "StringNotEquals":{
                    "acs:SourceVpc":[
                        "vpc-t4nlw426y44rd3iq4xxxx"
                    ]
                }
            }
        }
    ]
}

シナリオ 6：IP ブラックリストの設定

バケットポリシーに Deny ステートメントを追加することで、特定の IP アドレスまたは範囲からのアクセスをブロックします。

StringLike: {"acs:SourceVpc": "*"} 条件は、ワイルドカードを使用してすべての値に一致させ、VPC のスコープを制限しません。これは、acs:SourceIp には対応する acs:SourceVpc 条件が必要であるという制約を満たすためだけに存在します。

{
  "Version": "1",
  "Statement": [{
    "Effect": "Deny",
    "Action": "oss:*",
    "Principal": [
      "*"
    ],
    "Resource": [
      "acs:oss:*:174649585760xxxx:example-bucket/*",
      "acs:oss:*:174649585760xxxx:example-bucket"
    ],
    "Condition": {
      "IpAddress": {
        "acs:SourceIp": [
          "101.***.***.100"
        ]
      },
      "StringLike": {
        "acs:SourceVpc": [
          "*"
        ]
      }
    }
  }]
}

シナリオ 7：クラシックネットワークアクセスの設定

oss:ClassicIntranet 条件キーは、リクエストが OSS クラシックネットワークから発信されたかどうかを示します。有効な値は true と false です。一部の OSS バックエンドサービス (ログ配信やバケットインベントリなど) は、クラシックネットワーク経由でバケットにアクセスします。クラシックネットワークからのリクエストに一致させるには、次の条件を使用します。

"Condition": {
    "StringEquals": {
        "oss:ClassicIntranet": [
            "true"
        ]
    }
}

ネットワークアクセス制限 (Deny ポリシー) を設定する際に、上記のバックエンドサービスを許可するには、Deny ステートメントの Condition ブロックに次の条件を追加して、クラシックネットワークリクエストを除外し、意図しないブロッキングを回避します。

"StringNotEquals": {
    "oss:ClassicIntranet": [
        "true"
    ]
}

シナリオ 1：API コールに対する一時的な認証情報の要求

API コールには一時的な認証情報を要求します。このポリシーでは、acs:AccessId 条件キーを使用して、長期的な認証情報 (Alibaba Cloud アカウントまたは RAM ユーザーのアクセスキー) からのアクセスをブロックします。次の例では、一時的な認証情報 (TMP. または STS. で始まる) を持たないすべてのユーザーによる example-bucket の表示や、そのオブジェクトの一覧表示を拒否します。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action":[
                "oss:Get*",
                "oss:ListObjects",
                "oss:ListObjectVersions"
            ],
            "Principal":[
                "*"
            ],
            "Resource":[
                "acs:oss:*:174649585760xxxx:example-bucket/*"
            ],
            "Condition": {
                "StringNotLike": {
                    "acs:AccessId": [
                        "TMP.*",
                        "STS.*"
                 ]
                }
            }
        }
    ]
}

シナリオ 2：パブリック ACL の禁止

バケットとオブジェクトの ACL がパブリックに設定されるのを防ぎます。2 つの Deny ステートメントを作成します。

• oss:x-oss-acl 条件キーを使用して、バケット ACL が private 以外の権限に設定されるのを防ぐ Deny ステートメントを作成します。public-read または public-read-write の ACL を設定しようとすると、拒否ルールがトリガーされます。

• oss:x-oss-object-acl 条件キーを使用して、オブジェクト ACL が private および default 以外の権限に設定されるのを防ぐ Deny ステートメントを作成します。

リクエストは、いずれかのステートメントに一致する場合に拒否されます。次の例では、example-bucket に対するパブリック ACL 操作を拒否します。

{
    "Version": "1",
    "Statement": [
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutBucketAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-acl": "private"
                }
            }
        },
        {            
            "Effect": "Deny",
            "Action": [
                "oss:PutObjectAcl"
            ],
            "Principal": [
                "*"
            ],
            "Resource": [
                "acs:oss:*:*:example-bucket/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "oss:x-oss-object-acl": [
                        "private",
                        "default"
                    ]
                }
            }
        }
    ]
}

シナリオ 3：ObjectWorm の保持期間の制限

バケットに対してオブジェクトレベルの保持ポリシー (ObjectWorm) を有効にした後、バケットポリシーを使用して最大の保持期間を制限します。次の例では、保持期間を 30 日に制限します。30 日を超える PutObjectRetention リクエストは拒否されます。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "oss:PutObjectRetention"
      ],
      "Principal": [
        "*"
      ],
      "Resource": [
        "acs:oss:*:174649585760xxxx:example-bucket/*"
      ],
      "Condition": {
        "NumericGreaterThan": {
          "oss:object-remaining-retention-days": "30"
        }
      }
    }
  ]
}