Tablestore:カスタムポリシーの作成

単一の API 操作

"Action": "ots:GetRow"                    

複数の API

"Action": [
"ots:PutRow",
"ots:GetRow"
]                  

すべての読み取り専用 API 操作

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ots:BatchGet*",
        "ots:Describe*",
        "ots:Get*",
        "ots:List*",
        "ots:Consume*",
        "ots:Search",
        "ots:ComputeSplitPointsBySize"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}                

すべての読み取りおよび書き込み API 操作

"Action": "ots:*"               

すべての SQL 関連 API 操作

"Action": "ots:SQL*"

管理 API のアクセス可能なリソース

管理 API はインスタンスレベルの操作を処理し、コンソールまたは OpenAPI を使用して呼び出されます。以下で説明するリソースから acs:ots:[region]:[user_id]: プレフィックスは省略されています。インスタンスのみが指定されます。

データ API によってアクセスされるリソース

テーブル操作とデータ読み取り/書き込み操作は、テーブルと行に対して機能し、Tablestore コンソールまたは Tablestore SDK を使用して呼び出すことができます。これらの操作に対して Action 要素と Resource 要素を指定すると、Tablestore コンソールで一部の機能が利用できなくなる場合があります。以下で説明するリソース名から acs:ots:[region]:[user_id]: プレフィックスは省略されています。インスタンスとテーブルのみが指定されます。

トンネル API アクセスのためのリソース

トンネルサービス操作はトンネル関連のタスクを処理し、Tablestore コンソールまたは Tablestore SDK を使用して呼び出すことができます。これらの操作に対して Action 要素と Resource 要素を指定すると、Tablestore コンソールで一部の機能が利用できなくなる場合があります。以下で説明するリソース名から acs:ots:[region]:[user_id]: プレフィックスは省略されています。インスタンスとテーブルのみが指定されます。

IP アドレスベースのアクセス制御

IP アドレスホワイトリストを作成して、Tablestore リソースへのアクセスが許可される IP アドレスまたは CIDR ブロックを指定できます。このメソッドは、次のシナリオに適しています。

• 複数の IP アドレスからのアクセスを制限する。

  次の例では、IP アドレス 10.10.XX.XX および 10.11.XX.XX からの Tablestore リソースへのリクエストのみを許可する方法を示します。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.11.XX.XX"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                           

• 個々の IP アドレスと CIDR ブロックを制限できます。

  次の例では、IP アドレス 10.10.XX.XX または CIDR ブロック 10.10.XX.XX/24 からの Tablestore リソースへのリクエストのみを許可する方法を示します。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.10.XX.XX/24"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                            

HTTPS ベースのアクセス制御

カスタムポリシーを使用して、Tablestore へのアクセスが HTTPS 経由で行われることを要求できます。

次の例では、Tablestore へのアクセスリクエストに HTTPS を使用することを要求します。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:SecureTransport": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

TLS バージョンベースのアクセス制御

カスタムポリシーを使用して、Tablestore へのアクセスを TLS v1.2 または TLS v1.3 のみを使用するリクエストに制限できます。

次の例では、Tablestore へのアクセスを TLS v1.2 および TLS v1.3 のみに制限します。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ots:*",
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                  "ots:TLSVersion": [
                    "TLSv1.2",
                    "TLSv1.3"
                  ]
                }
            }
        }
    ]
}

MFA ベースのアクセス制御

カスタムポリシーを作成して、多要素認証 (MFA) に合格したリクエストのみに Tablestore リソースへのアクセスを許可できます。

次の例では、Tablestore へのアクセスを MFA に合格したリクエストに制限します。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent ": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

時間ベースのアクセス制御

カスタムポリシーを作成して、アクセスリクエストが許可または拒否される時間を指定できます。指定された時間より前に送信されたリクエストは、許可または拒否されます。

次の例では、ユーザーが 2016年1月1日 00:00 (UTC+08:00) より前にのみ Tablestore にアクセスすることを許可します。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "DateLessThan": {
                    "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                }
            }
        }
    ],
    "Version": "1"
}                    

シナリオ 1: 複数のアクセス制御条件

このシナリオでは、IP アドレスが 10.10.XX.XX/24 CIDR ブロックに属する RAM ユーザーは、online-01 および online-02 という名前のインスタンス (これらのインスタンス内のすべてのテーブルを含む) に対して読み取りまたは書き込み操作を実行できます。アクセスは、2016年1月1日 00:00:00 より前に HTTPS 経由でのみ許可されます。

1. ご利用の Alibaba Cloud アカウントを使用して RAM コンソールにログインします (RAM サービスはデフォルトで有効になっています)。

2. カスタムポリシーを作成します。

   1. 左側のナビゲーションウィンドウで、権限管理 > ポリシー を選択します。

   2. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   3. アクセスポリシーの作成 ページで、[スクリプトエディター] タブをクリックします。ポリシードキュメントに次のスクリプトを入力し、[OK] をクリックします。

      {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "ots:*",
              "Resource": [
                  "acs:ots:*:*:instance/online-01",
                  "acs:ots:*:*:instance/online-01/table*",
                  "acs:ots:*:*:instance/online-02",
                  "acs:ots:*:*:instance/online-02/table*"
              ],
              "Condition": {
                  "IpAddress": {
                      "acs:SourceIp": [
                          "10.10.XX.XX/24"
                      ]
                  },
                  "DateLessThan": {
                      "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                  },
                  "Bool": {
                      "acs:SecureTransport": "true"
                  }
              }
          }
      ],
      "Version": "1"
      }                            

   4. アクセスポリシーの作成 ダイアログボックスで、ポリシー名と説明を入力し、[OK] をクリックします。

3. ポリシーを RAM ユーザーにアタッチします。

   1. 左側のナビゲーションウィンドウで、ID 管理 > ユーザー を選択します。

   2. ユーザー ページで、権限を付与する RAM ユーザーを見つけ、操作 列の [権限の追加] をクリックします。

   3. 権限の付与 パネルで、[カスタムポリシー] を選択し、作成したポリシーの名前を検索し、ポリシーの横にあるチェックボックスを選択して [選択済みのポリシー] 列に追加します。

   4. [権限の付与] をクリックします。

   5. [シャットダウン] をクリックします。

シナリオ 2: リクエストの拒否

このシナリオでは、IP アドレス 10.10.XX.XX を使用する RAM ユーザーは、中国 (北京) リージョンで名前に online または product プレフィックスが含まれるインスタンスのテーブルにデータを書き込むことはできません。このポリシーは、インスタンスレベルの操作には適用されません。

1. ご利用の Alibaba Cloud アカウントを使用して RAM コンソールにログインします (RAM サービスはデフォルトで有効になっています)。

2. アクセスポリシーを作成できます。

   1. 左側のナビゲーションウィンドウで、権限管理 > 権限ポリシー を選択します。

   2. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   3. ポリシーの作成 ページで、[スクリプトエディター] タブをクリックし、ポリシーエディターに次の内容を入力して、[OK] をクリックします。

      {
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "ots:Create*",
                      "ots:Insert*",
                      "ots:Put*",
                      "ots:Update*",
                      "ots:Delete*",
                      "ots:BatchWrite*"
                  ],
                  "Resource": [
                      "acs:ots:cn-beijing:*:instance/online*/table*",
                      "acs:ots:cn-beijing:*:instance/product*/table*"
                  ],
                  "Condition": {
                      "IpAddress": {
                          "acs:SourceIp": [
                              "10.10.XX.XX"
                          ]
                      }
                  }
              }
          ],
          "Version": "1"
      }                 

   4. [ポリシーの作成] ダイアログボックスで、[名前] パラメーターと [説明] パラメーターを設定し、[OK] をクリックします。

3. ポリシーを RAM ユーザーにアタッチします。

   1. 左側のナビゲーションウィンドウで、ID > ユーザー を選択します。

   2. 「ユーザー」ページで、ポリシーをアタッチする RAM ユーザーを見つけます。「操作」列の「権限の追加」をクリックします。

   3. 権限の付与 パネルで、[カスタムポリシー] を選択し、作成したポリシーの名前を検索し、ポリシーの横にあるチェックボックスを選択して [選択済みのポリシー] 列に追加します。

   4. [権限の付与] をクリックします。

   5. [閉じる] をクリックします。

シナリオ 3: RAM ユーザーが管理できるインスタンスの制限

このシナリオでは、RAM ユーザーは特定のインスタンスのみを管理でき、他のインスタンスを表示または管理することはできません。

1. ご利用の Alibaba Cloud アカウントを使用して RAM コンソールにログインします (RAM サービスはデフォルトで有効になっています)。

2. アクセスポリシーを作成します。

   1. 左側のナビゲーションウィンドウで、権限管理 > 権限ポリシー を選択します。

   2. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   3. アクセスポリシーの作成 ページで、[スクリプトエディター] タブをクリックします。

   4. 次のポリシードキュメントを入力し、[OK] をクリックします。

      {
        "Version": "1",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "ots:ListInstance",
              "ots:ListTagResources"
            ],
            "Resource": "acs:ots:*:*:instance/*"
          },
          {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": [
              "acs:ots:*:*:instance/yourInstance",
              "acs:ots:*:*:instance/yourInstance/table*"
            ]
          },
          {
            "Effect": "Allow",
            "Action": "cms:Query*",
            "Resource": "*"
          }
        ]
      }

      アクセスポリシーの詳細については、次の表をご参照ください。

      アクセスポリシー	説明
      { "Effect": "Allow", "Action": [ "ots:ListInstance", "ots:ListTagResources" ], "Resource": "acs:ots:*:*:instance/*" }	重要 RAM ユーザーがコンソールで特定のインスタンスのみを管理できるようにするには、このオプションを設定する必要があります。 Tablestore コンソールの [概要] ページでリクエストする必要があるため、RAM ユーザーにインスタンスリストとタグリストを取得する権限を付与する必要があります。
      { "Effect": "Allow", "Action": "ots:*", "Resource": [ "acs:ots:*:*:instance/yourInstance", "acs:ots:*:*:instance/yourInstance/table*" ] }	RAM ユーザーに yourInstance インスタンスとインスタンス内のすべてのテーブルに対するすべての権限を付与します。
      { "Effect": "Allow", "Action": "cms:Query*", "Resource": "*" }	CloudMonitor を使用してインスタンスとテーブルのモニタリングデータを表示する権限を RAM ユーザーに付与します。

3. ポリシーの作成 ダイアログボックスで、ポリシー名と説明パラメーターを設定し、[OK] をクリックします。

4. ポリシーを RAM ユーザーにアタッチします。

   1. 左側のナビゲーションウィンドウで、ID > ユーザー を選択します。

   2. ユーザー ページで、権限を付与する RAM ユーザーを見つけます。操作 列で、[権限の追加] をクリックします。

   3. 権限の付与 パネルで、[カスタムポリシー] を選択し、作成したポリシーの名前を検索し、ポリシーの横にあるチェックボックスを選択して [選択済みのポリシー] 列に追加します。

   4. [権限の付与] をクリックします。

   5. 閉じる をクリックします。