Object Storage Service:Control Policy

Mecanismo de autenticação

A Control Policy estabelece limites de permissão, mas não concede acessos diretamente. Quando um usuário ou função do RAM em uma conta membro acessa um serviço de nuvem, o sistema verifique primeiro a conformidade com a Control Policy. Se a solicitação for aprovada nessa etapa, o sistema avalia as políticas de permissão do RAM da conta.

Princípios de avaliação

A avaliação começa na conta proprietária do recurso solicitado e sobe na hierarquia do Resource Directory. Em cada nível, a negação explícita tem precedência:

1. Precedência da negação explícita: Caso uma regra Deny corresponda à solicitação, o sistema nega imediatamente o pedido. A avaliação termina sem verificar a política de permissão do RAM da conta.

2. Busca por permissão explícita: Se nenhuma regra Deny corresponder em determinado nível, o sistema procura uma regra Allow correspondente. Ao encontrar uma regra Allow válida, a avaliação é aprovada nesse nível e continua até a pasta raiz. Se a pasta raiz também aprovar, a verificação da Control Policy terá êxito e o sistema avaliará a política de permissão do RAM da conta.

3. Negação padrão: Quando nenhuma regra Deny ou Allow corresponder, a solicitação será negada por padrão. A avaliação encerra sem prosseguir para o próximo nível ou analisar a política de permissão do RAM da conta.

O Alibaba Cloud avalia as políticas anexadas à conta acessada e a todos os seus ancestrais na hierarquia, garantindo que as políticas de níveis superiores se apliquem a todas as contas abaixo delas. Consulte a Visão geral das Control Policies.

Tipos de política

• System Control Policy: Política integrada e somente leitura. Ao ative a Control Policy, o sistema anexa por padrão a política FullAliyunAccess, que permite todas as operações.

• Custom Control Policy: Política crie e gerenciada por você. Anexe-a a uma pasta ou a um membro.

Escopo

A Control Policy aplica-se a todos os usuários e funções do RAM nas contas membro dentro de um Resource Directory. Ela não se aplica às Funções vinculadas a serviço, ao usuário root de um membro ou a identidades dentro da conta de gerenciamento.

Etapa 1: Ative o recurso Control Policy

Ative este recurso apenas uma vez. Ignore esta etapa caso ele já esteja ativado.

1. Acesse a página Resource Directory - Enable Control Policy.

2. Clique em Enable Control Policy e confirme sua escolha.

3. Clique em Refresh para verifique o status.

Etapa 2: Crie uma Control Policy personalizada

1. Acesse a página Resource Directory - Create Control Policy.

2. Escolha um método de configuração.

   O exemplo a seguir cria uma política que impõe o bloqueio de acesso público. Para mais exemplos de configuração, consulte Cenários comuns de autorização.

   Importante

   Antes de configure uma política de negação, garanta que todos os recursos existentes nas contas membro já estejam em conformidade. Para o bloqueio de acesso público, confirme se o bloqueio de acesso público está ativado em todos os buckets existentes.

   Editor visual

   Na seção Visual editor, configure os seguintes parâmetros:

   • Effects: Selecione Deny.

   • Service: Selecione OSS.

   • Actions: Selecione oss:DeleteBucketPublicAccessBlock e oss:PutBucketPublicAccessBlock.

   Editor de política

   Na seção Policy editor, insira a seguinte configuração de política:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [
           "oss:DeleteBucketPublicAccessBlock",
           "oss:PutBucketPublicAccessBlock"
         ],
         "Resource": "*"
       }
     ]
   }

   Nota

   Uma Control Policy utiliza o formato JSON e possui dois campos principais: Version e Statement. Uma Statement contém os elementos Effect, Action, Resource e Condition. Para obter detalhes sobre como configure uma Action, consulte Action.

3. Clique em OK.

4. Na caixa de diálogo Create Control Policy, insira um nome e uma descrição e clique em OK.

Etapa 3: Anexar a Control Policy a uma pasta

1. Acesse a página Resource Directory - Directory Management.

2. Na árvore do resource directory, clique em na pasta de destino.

3. Na aba Policy, clique em Attach Policy.

4. No painel Attach Policy, selecione a Control Policy desejada e clique em OK.

Etapa 4: Verifique a política

Após anexar a política, todas as contas membro na pasta ficam sujeitas às suas restrições. Valide a política de bloqueio de acesso público com as seguintes verificações:

1. Validar a ação de negação: Em uma conta membro, tente desativar o bloqueio de acesso público de um bucket existente. A Control Policy deve negar a operação.

2. Validar restrições de criação: Tente crie um novo bucket sem ative o bloqueio de acesso público. O sistema deve negar a solicitação de criação.

3. Validar a aplicação hierárquica: Execute as mesmas operações em contas membro situadas em diferentes níveis da hierarquia para confirme que a política é efetiva em toda a pasta.

Cenário 1: Impor bloqueio de acesso público para buckets do OSS

Esta política impõe o bloqueio de acesso público aos buckets do OSS ao impedir que os usuários desativem o recurso ou criem buckets sem essa proteção:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "oss:DeleteBucketPublicAccessBlock",
        "oss:PutBucketPublicAccessBlock"
      ],
      "Resource": "*"
    }
  ]
}