Object Storage Service:権限とアクセス制御

ACL

アクセス制御リスト (ACL) は、権限を制御する最も簡単な方法です。事前定義された権限レベルを使用して、リソースのアクセス状態を公開または非公開に設定します。

バケット ACL はバケットのデフォルトのアクセス権限を制御し、オブジェクト ACL は個々のオブジェクトの権限を制御し、より高い優先度を持ちます。オブジェクト ACL が指定されていない場合、オブジェクトはバケット ACL から権限を継承します。以下の権限レベルがサポートされています：

ACL は事前定義されたレベルのみをサポートし、誰に、どのような条件下でアクセスを許可するかを指定することはできません。より詳細な制御を行うには、バケットポリシーまたは RAM ポリシーを使用します。

バケットポリシー

バケットポリシー は、バケットにアタッチされたリソースベースの権限付与ポリシーです。バケット内のリソースに誰がアクセスできるかを定義します。これを使用して、RAM ユーザー、他の Alibaba Cloud アカウント、または匿名ユーザーに権限を付与でき、IP アドレス、VPC、または時間などの条件を指定できます。

同じバケットへのアクセスを複数のユーザーに許可する必要がある場合、ユーザーごとに個別の権限を設定する代わりに、単一のバケットポリシーを使用できます。

チュートリアル： VPC エンドポイントポリシーとバケットポリシーを使用してデュアルアクセス制御を実装する | バケットポリシーを使用して部門間でデータを共有する

RAM ポリシー

RAM ポリシー は、ユーザー ID にアタッチされた ID ベースの権限付与ポリシーです。ユーザーがどの OSS リソースにアクセスできるかを定義し、複数のバケットにまたがるユーザーまたはアプリケーションの権限を一元管理するのに最適です。

OSS は、AliyunOSSFullAccess や AliyunOSSReadOnlyAccess などのシステムポリシーを提供しており、直接使用できます。カスタムポリシーを作成することもできます。RAM ロールを使用してクロスアカウントアクセスを有効にし、セキュリティトークンサービス (STS) を介して一時的な権限付与を行うことができます。

チュートリアル： RAM ロールを使用して Alibaba Cloud アカウント間で OSS リソースにアクセスする | RAM ポリシーを使用して OSS へのアクセスを制御する

コントロールポリシー

リソースディレクトリの コントロールポリシー は、リソースフォルダーやメンバーなどのリソース構造に基づくアクセス制御ポリシーです。主に権限の境界を定義するために使用されます。マルチアカウント環境では、カスタムコントロールポリシーを使用して、すべてのバケットで公開アクセス禁止を有効にすることを要求するなど、メンバーアカウント全体でセキュリティ要件を強制できます。

ポリシーの比較

推奨事項：同じリソースへのアクセスを複数のユーザーに効率的に許可するには、バケットポリシーを使用します。単一ユーザーのすべてのリソース権限を直感的に管理するには、RAM ポリシーを使用します。匿名アクセスを許可するには、バケットポリシーを使用する必要があります。マルチアカウント環境では、コントロールポリシーを使用して権限の境界を定義できます。これらのメソッドは併用できます。OSS は、適用可能なすべてのポリシーが許可する場合にのみリクエストを許可します。

アクセスポイント

アクセスポイント は、バケットにアクセスするための専用のエントリポイントを提供します。単一のバケットに異なる権限を持つ複数のアプリケーションやチームがアクセスする必要がある場合、それぞれに個別のアクセスポイントを作成できます。その後、アクセスポイントポリシーを使用して各アクセスポイントの権限を個別に管理できるため、単一の複雑なバケットポリシーを維持する必要がなくなります。

各アクセスポイントには、一意のアクセスドメイン名、アクセスポイントポリシー、およびネットワーク制限があります。ユーザーがアクセスポイントを介して OSS にアクセスする場合、リクエストはアクセスポイントポリシー、バケットポリシー、および適用可能な RAM ポリシーによって許可されている場合にのみ許可されます。

公開アクセス禁止

有効にすると、公開アクセス禁止 は、ACL またはバケットポリシーによって付与されたすべての公開権限をオーバーライドし、設定ミスによるデータ漏えいを防ぎます。この機能は、アカウントレベル (すべてのバケット) 、バケットレベル、またはアクセスポイントレベルで設定でき、上位レベルが優先されます。

機密データを保存し、匿名アクセスを必要としない場合は、この機能をアカウントレベルで有効にすることを推奨します。

ホットリンク保護

ホットリンク保護 は、HTTP リクエストの Referer ヘッダーをチェックすることで、不正な Web サイトが OSS リソースにリンクするのを防ぎます。ホワイトリスト (指定されたドメインのみを許可) またはブラックリスト (指定されたドメインを拒否) を設定できます。この機能は、画像や動画などのリソースの不正使用を防ぐのに役立ちます。

オリジン間リソース共有 (CORS)

デフォルトでは、ブラウザは Web ページ内の JavaScript が異なるドメインのリソースにアクセスするのを防ぎます。CORS ルールを設定することで、OSS にレスポンスにクロスオリジンヘッダーを含めるように指示できます。これにより、ブラウザはリクエストを続行できます。これは、フロントエンドからの直接ファイルアップロードや Web アプリケーションのリソースのフェッチなどのシナリオで役立ちます。