Tablestore:カスタムポリシーの作成

単一の API 操作

"Action": "ots:GetRow"                    

複数の API 操作

"Action": [
"ots:PutRow",
"ots:GetRow"
]                  

すべての読み取り専用 API 操作

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ots:BatchGet*",
        "ots:Describe*",
        "ots:Get*",
        "ots:List*",
        "ots:Consume*",
        "ots:Search",
        "ots:ComputeSplitPointsBySize"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}                

すべての読み取りおよび書き込み API 操作

"Action": "ots:*"               

すべての SQL 関連 API 操作

"Action": "ots:SQL*"

インスタンス管理操作

インスタンス管理操作はインスタンス関連の操作であり、Tablestore コンソールまたは OpenAPI を使用して呼び出すことができます。 次のリソースの名前からは、acs:ots:[region]:[user_id]: プレフィックスが省略されています。 インスタンスのみが記述されています。

テーブル操作とデータの読み取り/書き込み操作

テーブル操作とデータの読み取り/書き込み操作は、テーブルと行に対して実行され、Tablestore コンソールまたは Tablestore SDK を使用して呼び出すことができます。 テーブル操作とデータの読み取り/書き込み操作の Action 要素と Resource 要素を指定すると、Tablestore コンソールでは一部の機能が使用できなくなる場合があります。 次のリソースの名前からは、acs:ots:[region]:[user_id]: プレフィックスが省略されています。 インスタンスとテーブルのみが記述されています。

トンネルサービスの操作

トンネルサービスの操作はトンネル関連の操作であり、Tablestore コンソールまたは Tablestore SDK を使用して呼び出すことができます。 トンネルサービスの操作の Action 要素と Resource 要素を指定すると、Tablestore コンソールでは一部の機能が使用できなくなる場合があります。 次のリソースの名前からは、acs:ots:[region]:[user_id]: プレフィックスが省略されています。 インスタンスとテーブルのみが記述されています。

IP アドレスベースのアクセス制御

Tablestore リソースへのアクセスを許可される IP アドレスまたは CIDR ブロックを指定するために、IP アドレスホワイトリストを作成できます。 IP アドレスベースのアクセス制御は、次のシナリオに適しています。

• 複数の IP アドレスからのアクセスを許可する

  次のサンプルコードは、IP アドレス 10.10.XX.XX と 10.11.XX.XX からのリクエストのみが Tablestore リソースにアクセスできるようにする方法の例を示しています。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.11.XX.XX"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                           

• 1 つの IP アドレスまたは CIDR ブロックからのみアクセスを許可する

  次のサンプルコードは、IP アドレス 10.10.XX.XX または CIDR ブロック 10.10.XX.XX/24 からのリクエストのみが Tablestore リソースにアクセスできるようにする方法の例を示しています。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.10.XX.XX/24"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                            

HTTPS ベースのアクセス制御

HTTPS 経由で送信されたリクエストのみが Tablestore リソースにアクセスできるように、カスタムポリシーを作成できます。

次のサンプルコードは、HTTPS 経由で送信されたリクエストのみが Tablestore リソースにアクセスできるようにする方法の例を示しています。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:SecureTransport": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

TLS バージョンベースのアクセス制御

TLS V1.2 または TLS V1.3 経由で送信されたリクエストのみが Tablestore リソースにアクセスできるように、カスタムポリシーを作成できます。

次のサンプルコードは、TLS V1.2 または TLS V1.3 経由で送信されたリクエストのみが Tablestore リソースにアクセスできるようにする方法の例を示しています。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ots:*",
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                  "ots:TLSVersion": [
                    "TLSv1.2",
                    "TLSv1.3"
                  ]
                }
            }
        }
    ]
}

MFA ベースのアクセス制御

MFA に合格したリクエストのみが Tablestore リソースにアクセスできるように、カスタムポリシーを作成できます。

次のサンプルコードは、MFA に合格したリクエストのみが Tablestore リソースにアクセスできるようにする方法の例を示しています。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent ": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

時間ベースのアクセス制御

リクエストのアクセス時刻を指定するカスタムポリシーを作成できます。 指定された時点より前に送信されたアクセスリクエストは許可または拒否されます。

次のサンプルコードは、2016 年 1 月 1 日 00:00 (UTC + 08:00) より前にのみユーザーが Tablestore リソースにアクセスできるようにする方法の例を示しています。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "DateLessThan": {
                    "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                }
            }
        }
    ],
    "Version": "1"
}                    

シナリオ 1: 複数のアクセス制御条件

このシナリオでは、10.10.XX.XX/24 CIDR ブロックを使用する RAM ユーザーは、online-01 と online-02 という名前のインスタンスと、インスタンス内のすべてのテーブル (テーブルからのデータの読み取りとテーブルへのデータの書き込みを含む) を管理できます。 アクセスは、2016 年 1 月 1 日 00:00:00 より前に HTTPS 経由でのみ許可されます。

1. RAM コンソール にログオンします。 RAM サービスをアクティブにする必要があることに注意してください。

2. カスタムポリシーを作成します。

   1. 左側のナビゲーションウィンドウで、権限 > ポリシー を選択します。

   2. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   3. [ポリシーの作成] ページで、[JSON] タブをクリックします。 [JSON] タブで、ポリシードキュメントに次のスクリプトを入力し、[OK] をクリックします。

      {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "ots:*",
              "Resource": [
                  "acs:ots:*:*:instance/online-01",
                  "acs:ots:*:*:instance/online-01/table*",
                  "acs:ots:*:*:instance/online-02",
                  "acs:ots:*:*:instance/online-02/table*"
              ],
              "Condition": {
                  "IpAddress": {
                      "acs:SourceIp": [
                          "10.10.XX.XX/24"
                      ]
                  },
                  "DateLessThan": {
                      "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                  },
                  "Bool": {
                      "acs:SecureTransport": "true"
                  }
              }
          }
      ],
      "Version": "1"
      }                            

   4. [ポリシーの作成] ダイアログボックスで、[名前] パラメーターと [説明] パラメーターを設定し、[OK] をクリックします。

3. ポリシーを RAM ユーザーにアタッチします。

   1. 左側のナビゲーションウィンドウで、ID > ユーザー を選択します。

   2. [ユーザー] ページで、ポリシーをアタッチする RAM ユーザーを見つけます。 [操作] 列で、[権限の追加] をクリックします。

   3. [権限の付与] パネルで、[カスタムポリシー] を選択し、作成したポリシーの名前を検索して、ポリシーの横にあるチェックボックスをオンにして、[選択済みポリシー] 列にポリシーを追加します。

   4. [権限の付与] をクリックします。

   5. [閉じる] をクリックします。

シナリオ 2: リクエストの拒否

このシナリオでは、IP アドレス 10.10.XX.XX を使用する RAM ユーザーは、中国 (北京) リージョンの名前に online または product プレフィックスが含まれるインスタンスに属するテーブルにデータを書き込むことができません。 このポリシーは、インスタンスに対する操作には有効ではありません。

1. RAM コンソール にログオンします。 RAM サービスをアクティブにする必要があることに注意してください。

2. カスタムポリシーを作成します。

   1. 左側のナビゲーションウィンドウで、権限 > ポリシー を選択します。

   2. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   3. [ポリシーの作成] ページで、[JSON] タブをクリックします。 [JSON] タブで、ポリシードキュメントに次のスクリプトを入力し、[OK] をクリックします。

      {
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "ots:Create*",
                      "ots:Insert*",
                      "ots:Put*",
                      "ots:Update*",
                      "ots:Delete*",
                      "ots:BatchWrite*"
                  ],
                  "Resource": [
                      "acs:ots:cn-beijing:*:instance/online*/table*",
                      "acs:ots:cn-beijing:*:instance/product*/table*"
                  ],
                  "Condition": {
                      "IpAddress": {
                          "acs:SourceIp": [
                              "10.10.XX.XX"
                          ]
                      }
                  }
              }
          ],
          "Version": "1"
      }                 

   4. [ポリシーの作成] ダイアログボックスで、[名前] パラメーターと [説明] パラメーターを設定し、[OK] をクリックします。

3. ポリシーを RAM ユーザーにアタッチします。

   1. 左側のナビゲーションウィンドウで、ID > ユーザー を選択します。

   2. [ユーザー] ページで、ポリシーをアタッチする RAM ユーザーを見つけます。 [操作] 列で、[権限の追加] をクリックします。

   3. [権限の付与] パネルで、[カスタムポリシー] を選択し、作成したポリシーの名前を検索して、ポリシーの横にあるチェックボックスをオンにして、[選択済みポリシー] 列にポリシーを追加します。

   4. [権限の付与] をクリックします。

   5. [閉じる] をクリックします。

シナリオ 3: RAM ユーザーが管理できるインスタンスの制限

このシナリオでは、RAM ユーザーは特定のインスタンスのみを管理することが許可され、他のインスタンスを表示および管理することは禁止されています。

1. [RAM コンソール] にログオンします。RAM サービスをアクティブ化する必要があることに注意してください。

2. カスタムポリシーを作成します。たとえば、RAM ユーザーがインスタンス abc のみを管理できるようにします。

   1. 左側のナビゲーションウィンドウで、[権限] > [ポリシー] を選択します。

   2. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   3. [ポリシーの作成] ページで、[JSON] タブをクリックします。

   4. ポリシードキュメントに次のスクリプトを入力し、[OK] をクリックします。

      {
        "Version": "1",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "ots:ListInstance",
              "ots:ListTagResources"
            ],
            "Resource": "acs:ots:*:*:instance/*"
          },
          {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": [
              "acs:ots:*:*:instance/yourInstance",
              "acs:ots:*:*:instance/yourInstance/table*"
            ]
          },
          {
            "Effect": "Allow",
            "Action": "cms:Query*",
            "Resource": "*"
          }
        ]
      }

      次の表は、ポリシードキュメント内のスクリプトについて説明しています。

      スクリプト	説明
      { "Effect": "Allow", "Action": [ "ots:ListInstance", "ots:ListTagResources" ], "Resource": "acs:ots:*:*:instance/*" }	重要 Tablestore コンソールで RAM ユーザーが管理できるインスタンスを制限する場合は、スクリプトを指定する必要があります。 インスタンスリストとタグリストは Tablestore コンソールの [概要] ページに表示されるため、RAM ユーザーにインスタンスリストとタグリストを照会する権限を付与します。
      { "Effect": "Allow", "Action": "ots:*", "Resource": [ "acs:ots:*:*:instance/yourInstance", "acs:ots:*:*:instance/yourInstance/table*" ] }	RAM ユーザーに、yourInstance インスタンスおよびインスタンス内のすべてのテーブルに対するすべての権限を付与します。
      { "Effect": "Allow", "Action": "cms:Query*", "Resource": "*" }	CloudMonitor を使用してインスタンスとテーブルのモニタリングデータを表示する権限を RAM ユーザーに付与します。

3. [ポリシーの作成] ダイアログボックスで、名前と説明のパラメーターを構成し、[OK] をクリックします。

4. ポリシーを RAM ユーザーにアタッチします。

   1. 左側のナビゲーション ウィンドウで、[ID] > [ユーザー] を選択します。

   2. [ユーザー] ページで、ポリシーをアタッチする RAM ユーザーを探します。[アクション] 列で、[権限の追加] をクリックします。

   3. [権限の付与] パネルで、[カスタムポリシー] を選択し、作成したポリシーの名前を検索して、ポリシーの横にあるチェックボックスをオンにして、[選択済みポリシー] 列にポリシーを追加します。

   4. [権限の付与] をクリックします。

   5. 閉じる をクリックします。