バケットポリシーを使用して OSS へのパブリックアクセスを制限する - Object Storage Service

バケットポリシーは、Object Storage Service (OSS) バケットの権限付与ポリシーです。バケットポリシーを使用すると、インターネット経由での OSS リソースへのアクセスを防ぐことができます。

シナリオ

企業 A は、中国 (杭州) リージョンに examplebucket という名前のバケットを作成します。大量の内部データが examplebucket の examplefolder ディレクトリに保存されています。企業 A は、特定のパートナーが RAM ユーザーを使用してインターネット経由で examplefolder ディレクトリ内のリソースにアクセスすることを望んでいません。

企業 A の前述の要件を満たすために、ポリシー構文を使用してバケットポリシーを設定できます。

手順

OSS コンソールにログインします。
左側のナビゲーションウィンドウで、バケット をクリックします。[バケット] ページで、examplebucket をクリックします。
左側のナビゲーションツリーで、権限管理 > バケット承認ポリシー を選択します。
表示されたページで、構文で追加 タブをクリックし、編集をクリックします。バケット承認ポリシー

コードエディタに、次のポリシーを入力します。

次のポリシーでは、137918634953xxxx は examplebucket バケットのオーナーのユーザー ID であり、Principal 要素のユーザー ID は RAM ユーザーのユーザー ID です。

{
    "Version": "1",
    "Statement": [{
        "Effect": "Deny",
        "Action": [
            "oss:RestoreObject",
            "oss:AbortMultipartUpload",
            "oss:PutObjectAcl",
            "oss:GetObjectAcl",
            "oss:ListParts",
            "oss:DeleteObject",
            "oss:PutObject",
            "oss:GetObject",
            "oss:GetVodPlaylist",
            "oss:PostVodPlaylist",
            "oss:PublishRtmpStream",
            "oss:ListObjectVersions",
            "oss:GetObjectVersion",
            "oss:GetObjectVersionAcl",
            "oss:RestoreObjectVersion"
        ],
        "Principal": [            
            "26642223584287xxxx",
            "27658173539067xxxx",
            "24430533117653xxxx"
        ],
        "Resource": [            
            "acs:oss:*:137918634953xxxx:examplebucket/examplefolder/*"
        ],
        "Condition": {
            "StringNotLike": {
                "acs:SourceVpc": [
                    "vpc-*"
                ]
            }
        }
    }, {
        "Effect": "Deny",
        "Action": [
            "oss:ListObjects"
        ],
        "Principal": [
            "26642223584287xxxx",
            "27658173539067xxxx",
            "24430533117653xxxx"
        ],
        "Resource": [
            "acs:oss:*:137918634953xxxx:examplebucket"
        ],
        "Condition": {
            "StringLike": {
                "oss:Prefix": [
                    "examplefolder/*"
                ]
            },
            "StringNotLike": {
                "acs:SourceVpc": [
                    "vpc-*"
                ]
            }
        }
    }]
}

設定をクリックします。表示されるメッセージで、[OK] をクリックします。

Object Storage Service:チュートリアル: バケットポリシーを使用して OSS へのパブリックアクセスを制限する

シナリオ

手順

関連資料