Tablestore:カスタム RAM ポリシー

単一の API

"Action": "ots:GetRow"                    

複数の API

"Action": [
"ots:PutRow",
"ots:GetRow"
]                  

すべての読み取り専用 API

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ots:BatchGet*",
        "ots:Describe*",
        "ots:Get*",
        "ots:List*",
        "ots:Consume*",
        "ots:Search",
        "ots:ComputeSplitPointsBySize"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}                

すべての読み取り/書き込み API

"Action": "ots:*"               

すべての SQL 操作 API

"Action": "ots:SQL*"

管理 API によってアクセスされるリソース

管理 API は、主にインスタンス関連の操作に使用され、コンソールおよび OpenAPI から呼び出されます。以下のリソース定義では、acs:ots:[region]:[user_id]: プレフィックスを省略し、インスタンス部分のみを示しています。

データ API によってアクセスされるリソース

データ API は、主にテーブルおよび行関連の操作に使用され、コンソールおよびソフトウェア開発キット (SDK) から呼び出されます。これらの API の Action および Resource の定義は、ユーザーがコンソールをどのように使用するかに影響します。以下のリソース定義では、acs:ots:[region]:[user_id]: プレフィックスを省略し、インスタンスとテーブルの部分のみを示しています。

トンネル API によってアクセスされるリソース

トンネル API は、主にチャンネル関連の操作に使用され、コンソールおよび SDK から呼び出されます。これらの API の Action および Resource の定義は、ユーザーがコンソールをどのように使用するかに影響します。以下のリソース定義では、acs:ots:[region]:[user_id]: プレフィックスを省略し、インスタンスとテーブルの部分のみを示しています。

IP アドレスによる制限

ホワイトリストを設定することで、Tablestore にアクセスできるソース IP アドレスを制限できます。CIDR ブロックによるフィルターも可能です。以下に、代表的な設定例を示します。

• 複数の IP アドレスを制限します。

  次の例では、ソース IP アドレスが 10.10.XX.XX または 10.11.XX.XX のリクエストからのアクセスのみを許可します。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.11.XX.XX"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                           

• 単一の IP アドレスと CIDR ブロックを制限します。

  次の例では、ソース IP アドレスが 10.10.XX.XX のリクエスト、または 10.10.XX.XX/24 CIDR ブロックからのアクセスのみを許可します。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.10.XX.XX/24"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                            

HTTPS アクセスによる制限

カスタムポリシーを使用して、HTTPS 経由での Tablestore へのアクセスを制限できます。

次の例では、Tablestore へのアクセスリクエストが HTTPS 経由で送信されることを要求します。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:SecureTransport": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

TLS バージョンによる制限

カスタムポリシーを使用して、TLSv1.2 および TLSv1.3 経由での Tablestore へのアクセスを制限できます。

次の例では、Tablestore へのアクセスリクエストが TLSv1.2 または TLSv1.3 経由で送信されることを要求します。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ots:*",
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                  "ots:TLSVersion": [
                    "TLSv1.2",
                    "TLSv1.3"
                  ]
                }
            }
        }
    ]
}

MFA アクセスによる制限

カスタムポリシーを使用して、MFA 経由での Tablestore へのアクセスを制限できます。

次の例では、Tablestore へのアクセスリクエストが MFA によって認証されることを要求します。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent ": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

アクセス時間による制限

カスタムポリシーを使用して、リクエストの時刻に基づいてアクセスを制限できます。これにより、特定の時点以降に行われたリクエストを拒否できます。

次の例では、ユーザーが 2016 年 1 月 1 日 00:00:00 (UTC+08:00) より前に Tablestore にアクセスすることを許可します。この時刻以降、アクセスは拒否されます。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "DateLessThan": {
                    "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                }
            }
        }
    ],
    "Version": "1"
}                    

シナリオ 1：複数の権限付与条件

10.10.XX.XX/24 CIDR ブロックからのユーザーに、online-01 および online-02 という名前のすべてのインスタンス (インスタンス内のすべてのテーブルを含む) に対する読み取りまたは書き込み操作を許可します。アクセスは 2016-01-01 00:00:00 より前のみ許可され、HTTPS 経由である必要があります。

1. ご利用の Alibaba Cloud アカウントで Resource Access Management (RAM) コンソールにログインします。デフォルトでは、RAM サービスは有効化されています。

2. ポリシーを作成します。

   1. 左側のナビゲーションウィンドウで、権限管理 > ポリシー を選択します。

   2. ポリシー ページで、ポリシーの作成 をクリックします。

   3. ポリシーの作成 ページで、スクリプトエディター タブをクリックします。ポリシードキュメントに次の内容を入力し、OK をクリックします。

      {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "ots:*",
              "Resource": [
                  "acs:ots:*:*:instance/online-01",
                  "acs:ots:*:*:instance/online-01/table*",
                  "acs:ots:*:*:instance/online-02",
                  "acs:ots:*:*:instance/online-02/table*"
              ],
              "Condition": {
                  "IpAddress": {
                      "acs:SourceIp": [
                          "10.10.XX.XX/24"
                      ]
                  },
                  "DateLessThan": {
                      "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                  },
                  "Bool": {
                      "acs:SecureTransport": "true"
                  }
              }
          }
      ],
      "Version": "1"
      }                            

   4. ポリシーの作成 ダイアログボックスで、ポリシー名と説明を入力し、OK をクリックします。

3. RAM ユーザーにポリシーを付与します。

   1. 左側のナビゲーションウィンドウで、アイデンティティ > ユーザー を選択します。

   2. ユーザー ページで、権限を付与する RAM ユーザーを見つけ、[操作] 列の 権限の追加 をクリックします。

   3. 権限の追加 パネルで、権限の種類を [カスタムポリシー] に設定します。作成したポリシーを検索し、その横にあるチェックボックスを選択します。ポリシーが [選択済み] セクションに追加されます。

   4. OK をクリックします。

   5. 閉じる をクリックします。

シナリオ 2：リクエストの拒否

ソース IP アドレスが 10.10.XX.XX のユーザーに対して、中国 (北京) リージョンで名前が online または product で始まるインスタンス内のすべてのテーブルへの書き込み操作を拒否します。これにはインスタンスに対する操作は含まれません。

1. ご利用の Alibaba Cloud アカウントで Resource Access Management (RAM) コンソールにログインします。デフォルトでは、RAM サービスは有効化されています。

2. ポリシーを作成します。

   1. 左側のナビゲーションウィンドウで、権限管理 > ポリシー を選択します。

   2. ポリシー ページで、ポリシーの作成 をクリックします。

   3. ポリシーの作成 ページで、スクリプトエディター タブをクリックします。ポリシードキュメントに次の内容を入力し、OK をクリックします。

      {
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "ots:Create*",
                      "ots:Insert*",
                      "ots:Put*",
                      "ots:Update*",
                      "ots:Delete*",
                      "ots:BatchWrite*"
                  ],
                  "Resource": [
                      "acs:ots:cn-beijing:*:instance/online*/table*",
                      "acs:ots:cn-beijing:*:instance/product*/table*"
                  ],
                  "Condition": {
                      "IpAddress": {
                          "acs:SourceIp": [
                              "10.10.XX.XX"
                          ]
                      }
                  }
              }
          ],
          "Version": "1"
      }                 

   4. ポリシーの作成 ダイアログボックスで、ポリシー名と説明を入力し、OK をクリックします。

3. RAM ユーザーにポリシーを付与します。

   1. 左側のナビゲーションウィンドウで、アイデンティティ > ユーザー を選択します。

   2. ユーザー ページで、権限を付与する RAM ユーザーを見つけ、[操作] 列の 権限の追加 をクリックします。

   3. 権限の追加 パネルで、権限の種類を [カスタムポリシー] に設定します。作成したポリシーを検索し、その横にあるチェックボックスを選択します。ポリシーが [選択済み] セクションに追加されます。

   4. [新規承認の確認]をクリックします。

   5. 閉じる をクリックします。

シナリオ 3：RAM ユーザーによる特定インスタンスの管理制限

RAM ユーザーに、他のインスタンスの表示または管理権限を付与せずに、指定されたインスタンスのみを管理することを許可します。

1. ご利用の Alibaba Cloud アカウントで Resource Access Management (RAM) コンソールにログインします。デフォルトでは、RAM サービスは有効化されています。

2. ポリシーを作成します。

   1. 左側のナビゲーションウィンドウで、権限管理 > ポリシー を選択します。

   2. ポリシー ページで、ポリシーの作成 をクリックします。

   3. ポリシーの作成 ページで、スクリプトエディター タブをクリックします。

   4. 次のポリシードキュメントを入力し、OK をクリックします。

      {
        "Version": "1",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "ots:ListInstance",
              "ots:ListTagResources"
            ],
            "Resource": "acs:ots:*:*:instance/*"
          },
          {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": [
              "acs:ots:*:*:instance/yourInstance",
              "acs:ots:*:*:instance/yourInstance/table*"
            ]
          },
          {
            "Effect": "Allow",
            "Action": "cms:Query*",
            "Resource": "*"
          }
        ]
      }

      次の表に、ポリシーステートメントについて説明します。

      アクセスポリシー	説明
      { "Effect": "Allow", "Action": [ "ots:ListInstance", "ots:ListTagResources" ], "Resource": "acs:ots:*:*:instance/*" }	重要 この項目は、コンソールで RAM ユーザーが指定されたインスタンスを管理するように制限するために必要です。 Tablestore コンソールの 概要 ページでは、インスタンスリストとタグリストをリクエストする必要があります。したがって、RAM ユーザーにインスタンスリストとタグリストを取得する権限を付与します。
      { "Effect": "Allow", "Action": "ots:*", "Resource": [ "acs:ots:*:*:instance/yourInstance", "acs:ots:*:*:instance/yourInstance/table*" ] }	RAM ユーザーに yourInstance インスタンスとそのデータテーブルに対するすべての権限を付与します。
      { "Effect": "Allow", "Action": "cms:Query*", "Resource": "*" }	RAM ユーザーに Cloud Monitor の権限を付与し、インスタンスとテーブルのモニタリングデータを表示できるようにします。

3. ポリシーの作成 ダイアログボックスで、ポリシー名と説明を入力し、OK をクリックします。

4. RAM ユーザーにポリシーを付与します。

   1. 左側のナビゲーションウィンドウで、アイデンティティ > [ユーザー]を選択します。

   2. ユーザー ページで、権限を付与する RAM ユーザーを見つけ、[操作] 列の 権限の追加 をクリックします。

   3. 権限の追加 パネルで、権限の種類を [カスタムポリシー] に設定します。作成したポリシーを検索し、対応するチェックボックスを選択します。ポリシーは [選択済み] セクションに追加されます。

   4. OK をクリックします。

   5. 閉じる をクリックします。