Object Storage Service:Kontrol İlkesi

Kimlik doğrulama mekanizması

Kontrol İlkesi izin sınırlarını belirler ancak doğrudan izin vermez. Bir üye hesaptaki RAM kullanıcısı veya rolü bir cloud hizmetine eriştiğinde sistem önce isteği Kontrol İlkesine karşı denetler. İstek bu denetimi geçtiyse sistem ardından hesabın RAM izin ilkelerini değerlendirir.

Değerlendirme ilkeleri

Değerlendirme işlemi istenen kaynağa sahip olan hesaptan başlayarak Resource Directory hiyerarşisinde yukarı doğru ilerler. Her düzeyde açık ret (explicit deny) önceliklidir:

1. Açık ret önceliklidir: İstekle eşleşen bir Deny kuralı varsa istek hemen reddedilir. Değerlendirme sonlanır ve hesabın RAM izin ilkesi kontrol edilmez.

2. Açık izni ara: Bir düzeyde eşleşen Deny kuralı yoksa sistem eşleşen Allow kuralını arar. Eşleşen Allow kuralı bulunursa o düzeydeki değerlendirme başarılı olur ve kök klasöre kadar yukarı devam eder. Kök klasörde de değerlendirme başarılı olursa Kontrol İlkesi denetimi geçer ve sistem hesabın RAM izin ilkesini değerlendirir.

3. Varsayılan ret: Deny veya Allow kuralının hiçbiriyle eşleşme olmazsa istek varsayılan olarak reddedilir. Değerlendirme sonlanır; bir sonraki düzeye geçilmez ve hesabın RAM izin ilkesi değerlendirilmez.

Alibaba Cloud, erişilen hesaba ve hiyerarşideki tüm üst öğelere eklenen ilkeleri değerlendirerek üst düzey ilkelerin altındaki tüm hesaplar için geçerli olmasını sağlar. Daha fazla bilgi için bkz. Kontrol İlkelerine Genel Bakış.

İlke türleri

• Sistem Kontrol İlkesi: Yerleşik, salt okunur bir ilkedir. Kontrol İlkesi özelliğini etkinleştirdiğinizde varsayılan olarak FullAliyunAccess ilkesi eklenir ve tüm işlemlere izin verilir.

• Özel Kontrol İlkesi: Oluşturup yönettiğiniz ilkedir. Bir klasöre veya üyeye ekleyebilirsiniz.

Kapsam

Kontrol İlkesi, Resource Directory içindeki üye hesapların tüm RAM kullanıcıları ve rolleri için geçerlidir. Hizmet Bağlantılı Roller, bir üyenin kök kullanıcısı veya yönetim hesabındaki kimlikler için geçerli değildir.

Adım 1: Kontrol İlkesi özelliğini etkinleştirin

Bu özelliği yalnızca bir kez etkinleştirmeniz gerekir. Zaten etkinse bu adımı atlayın.

1. Resource Directory - Kontrol İlkesini Etkinleştir sayfasına gidin.

2. Enable Control Policy seçeneğine tıklayın ve tercihinizi onaylayın.

3. Durumu kontrol etmek için Refresh seçeneğine tıklayın.

Adım 2: Özel Kontrol İlkesi oluşturun

1. Resource Directory - Kontrol İlkesi Oluştur sayfasına gidin.

2. Bir yapılandırma yöntemi seçin.

   Aşağıdaki örnek genel erişimin engellenmesini zorunlu kılan bir ilke oluşturur. Daha fazla yapılandırma örneği için bkz. Ortak yetkilendirme senaryoları.

   Önemli

   Ret ilkesini yapılandırmadan önce üye hesaplarınızdaki mevcut kaynakların uyumlu olduğundan emin olun. Genel erişimin engellenmesi söz konusu olduğunda mevcut tüm paketlerde block public access özelliğinin etkin olduğunu doğrulayın.

   Görsel düzenleyici

   Visual editor bölümünde aşağıdaki ayarları yapılandırın:

   • Effects: Deny seçeneğini seçin.

   • Service: OSS seçeneğini seçin.

   • Actions: oss:DeleteBucketPublicAccessBlock ve oss:PutBucketPublicAccessBlock seçeneklerini seçin.

   İlke düzenleyicisi

   Policy editor bölümüne aşağıdaki ilke yapılandırmasını girin:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [
           "oss:DeleteBucketPublicAccessBlock",
           "oss:PutBucketPublicAccessBlock"
         ],
         "Resource": "*"
       }
     ]
   }

   Not

   Kontrol İlkesi JSON biçimindedir ve Version ile Statement olmak üzere iki temel alan içerir. Bir Statement, Effect, Action, Resource ve Condition öğelerini barındırır. Action nasıl yapılandırılır hakkında ayrıntılı bilgi için bkz. Action.

3. OK seçeneğine tıklayın.

4. Create Control Policy iletişim kutusunda bir ad ve açıklama girin, ardından OK seçeneğine tıklayın.

Adım 3: Kontrol İlkesini bir klasöre ekleyin

1. Resource Directory - Dizin Yönetimi sayfasına gidin.

2. Kaynak dizini ağacında hedef klasöre tıklayın.

3. Policy sekmesinde Attach Policy seçeneğine tıklayın.

4. Attach Policy panelinde eklemek istediğiniz Kontrol İlkesini seçin ve ardından OK seçeneğine tıklayın.

Adım 4: İlkeyi doğrulayın

İlke eklendikten sonra klasördeki tüm üye hesaplar bu kısıtlamalara tabi olur. Genel erişimi engelleme ilkesini aşağıdaki kontrollerle doğrulayın:

1. Ret eylemini doğrulayın: Bir üye hesapta mevcut bir paket için genel erişimin engellenmesini devre dışı bırakmayı deneyin. Kontrol İlkesi bu işlemi reddetmelidir.

2. Oluşturma kısıtlamalarını doğrulayın: Genel erişimin engellenmesini etkinleştirmeden yeni bir paket oluşturmayı deneyin. Sistem oluşturma isteğini reddetmelidir.

3. Hiyerarşik uygulamayı doğrulayın: Hiyerarşinin farklı düzeylerindeki üye hesaplarda aynı işlemleri gerçekleştirerek ilkenin tüm klasör genelinde etkili olduğunu teyit edin.

Senaryo 1: OSS paketleri için genel erişimin engellenmesini zorunlu kılma

Bu ilke, kullanıcıların özelliği devre dışı bırakmasını veya bu özellik olmadan paket oluşturmasını engelleyerek OSS paketleri için genel erişimin engellenmesini zorunlu kılar:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "oss:DeleteBucketPublicAccessBlock",
        "oss:PutBucketPublicAccessBlock"
      ],
      "Resource": "*"
    }
  ]
}