Overview of permissions and access control - Object Storage Service

Hızlı seçim

Senaryonuz doğrultusunda aşağıdaki izin kontrol mekanizmalarından birini seçin:

Senaryo	Önerilen çözüm
Verileri özel tutun ve yetkisiz erişimi engelleyin	Paket ACL değerini varsayılan yapılandırma olan `private` olarak ayarlayın.
Belirli bir pakete birden çok kullanıcının erişmesini yetkilendirin	Paket İlkesi kullanın.
Bir kullanıcının erişebileceği tüm kaynakları merkezi olarak yönetin	Kullanıcıya RAM ilkesi ekleyin.
Kaynakları diğer Alibaba Cloud hesaplarıyla paylaşın	Paket İlkesi veya Hesaplar arası OSS erişimi için RAM rolü kullanma yöntemlerinden birini uygulayın.
Aynı pakete birden çok uygulamaya veya ekibe farklı erişim düzeyleri tanımlayın	Her uygulama veya ekip için bağımsız bir uç nokta ve ilke sağlamak üzere Erişim Noktası kullanın.
Herkese Açık Erişimi Engelle gibi sınırlamaları çoklu hesap senaryolarında merkezi olarak uygulayın	Kontrol İlkesi kullanın.
Herkesin okuyabileceği statik kaynakları yayımlayın	Paket ACL değerini `public-read` olarak ayarlayın ve kaynakların yetkisiz kullanımını önlemek için Hotlink koruması etkinleştirin. Hesapta veya pakette Herkese Açık Erişimi Engelle özelliği etkinse bu yapılandırma uygulanmaz.
Yanlış yapılandırmadan kaynaklanan veri ifşasını önleyin	Herkese Açık Erişimi Engelle özelliğini etkinleştirin. ACL veya paket ilkesi üzerinden yapılandırılmış herkese açık yetkilendirmeler artık geçerli olmaz.
Tarayıcı tarafındaki JavaScript üzerinden OSS'e erişin	Paket için CORS kurallarını yapılandırın. CORS yalnızca tarayıcı çapraz kökenli erişimini kontrol eder; erişim izinlerini vermez veya reddetmez.

OSS izinleri nasıl değerlendirir

OSS, her isteği kendisine uygulanan izin kontrol mekanizmalarına göre değerlendirir: ACL'ler, paket ilkeleri, Resource Access Management (RAM) ilkeleri, Resource Directory kontrol ilkeleri ve erişim noktası ilkeleri (AP ilkeleri). Her bir mekanizmanın ayrıntısı İzin kontrol yöntemleri bölümünde açıklanmıştır.

OSS, her istek türü için farklı bir yetkilendirme süreci uygular:

İmzalı istekler — OSS imzayı doğruladıktan sonra varsa Resource Directory kontrol ilkesini, RAM ilkesini, paket ilkesini ve ACL'i değerlendirir.
Anonim istekler — OSS, varsa Resource Directory kontrol ilkesinin, paket ilkesinin ve ACL'in herkese açık erişime izin verip vermediğini denetler.

Her değerlendirme aşağıdaki sonuçlardan birini döndürür:

Allow — Bir ilke erişimi açıkça sağlar.
Explicit Deny — Bir ilke erişimi açıkça reddeder. Explicit Deny en yüksek önceliğe sahiptir.
Implicit Deny — Erişimi sağlayan herhangi bir ilke bulunmadığından istek reddedilir.

Birden fazla mekanizma yapılandırdığınızda aşağıdaki kurallar geçerlidir:

Çoklu ilke türleri — Paket ilkesi, RAM ilkesi ve kontrol ilkesini birlikte kullanabilirsiniz. OSS, geçerli tüm ilkeleri değerlendirir ve isteği yalnızca tüm geçerli ilkeler izin verdiğinde kabul eder. Kontrol ilkesi tek başına erişim sağlamaz; bunun yerine izin sınırını belirler.
Nesne ACL önceliği — Nesne ACL, paket ACL'den daha yüksek önceliğe sahiptir. Bir nesne ACL'si belirtmezseniz nesne, paket ACL'sini devralır.
Erişim noktası istekleri — Kullanıcı bir pakete erişim noktası üzerinden eriştiğinde, RAM ilkesi ile paket ilkesinin birleştirilmiş değerlendirme sonucu Allow olmalı ve AP ilkesi de Allow olmalıdır.
Herkese Açık Erişimi Engelle — Herkese Açık Erişimi Engelle etkin olduğunda, ACL veya paket ilkesi üzerinden yapılandırılan herkese açık yetkilendirmeler artık geçerli olmaz.

Yetkilendirme sürecinin tam ayrıntıları için OSS yetkilendirmesinin ayrıntıları konusuna bakın.

İzin kontrol yöntemleri

ACL

ACL, önceden tanımlanmış izin düzeyleri aracılığıyla bir OSS kaynağının herkese açık mı yoksa özel mi olduğunu denetler.

Paket ACL bir paketin varsayılan erişim izinlerini denetler; nesne ACL ise tek bir nesnenin izinlerini denetler ve daha yüksek önceliğe sahiptir. Bir nesne ACL'si belirtmezseniz nesne, paket ACL'sini devralır. Desteklenen izin düzeyleri aşağıdaki tabloda açıklanmıştır.

İzin düzeyi	Uygulandığı kapsam	Etki
`private`	Paket ACL ve nesne ACL	Veriler özeldir. Yalnızca kaynak sahibi veya yetkili kullanıcılar verilere erişebilir.
`public-read`	Paket ACL ve nesne ACL	Herkes verileri okuyabilir. Yalnızca kaynak sahibi veya yetkili kullanıcılar veri yazabilir.
`public-read-write`	Paket ACL ve nesne ACL	Herkes verileri okuyabilir ve yazabilir.
`default`	Nesne ACL	Nesne, paket ACL'sini devralır.

ACL yalnızca önceden tanımlanmış izin düzeylerini destekler; yetkili asalları veya koşulları belirtmek mümkün değildir. Daha ayrıntılı kontrol için paket ilkesi veya RAM ilkesi kullanın.

Paket ilkesi

Paket İlkesi bir pakette yapılandırılan bir yetkilendirme ilkesidir. Söz konusu paketteki kaynaklara kimlerin erişebileceğini tanımlar. Paket ilkesi, RAM kullanıcılarını, diğer Alibaba Cloud hesaplarını ve anonim kullanıcıları yetkilendirebilir; IP adresi, VPC ve zaman kısıtlamaları gibi koşullar uygulayabilir.

Tek bir paket ilkesiyle birden çok kullanıcıyı aynı pakete erişmeye yetkilendirebilirsiniz. Her kullanıcı için ayrı bir ilke yapılandırmanıza gerek yoktur.

Öğreticiler: VPC ve paket ilkeleriyle çift yönlü erişim kontrolü | Paket ilkesine dayalı olarak departmanlar arasında veri paylaşımı

RAM ilkesi

RAM ilkesi bir kullanıcı kimliğine eklenen bir yetkilendirme ilkesidir. Bu kullanıcının hangi OSS kaynaklarına erişebileceğini tanımlar ve bir kullanıcının veya uygulamanın birden çok paketteki izinlerini merkezi olarak yönetmek için uygundur.

OSS, doğrudan kullanabileceğiniz AliyunOSSFullAccess ve AliyunOSSReadOnlyAccess gibi sistem ilkeleri sunar; ayrıca özel ilkeleri de destekler. RAM rolleri, hesaplar arası erişimi ve STS geçici yetkilendirmeyi etkinleştirir.

Öğreticiler: Hesaplar arası OSS erişimi için RAM rolü kullanma | RAM ilkeleriyle OSS erişimini kontrol etme

Kontrol ilkesi

Kontrol ilkesi, Resource Directory'deki klasörler veya üyeler gibi kaynak hiyerarşisine dayalı bir erişim kontrol ilkesidir ve öncelikli olarak izin sınırlarını tanımlamak için kullanılır. Çoklu hesap yönetimi senaryolarında özel bir kontrol ilkesi, üye hesapların paket güvenlik ilkelerine yönelik kısıtlamaları merkezi olarak uygulayabilir; örneğin, Herkese Açık Erişimi Engelle özelliğinin etkin olmasını zorunlu kılabilir. Ayrıntılar için Kontrol İlkesi konusuna bakın.

Erişim Noktası

Erişim Noktası bir paket için bağımsız bir erişim uç noktası sağlar. Birden çok uygulama veya ekip aynı pakete farklı izinlerle erişmesi gerektiğinde, her taraf için ayrı bir erişim noktası oluşturun ve o tarafın izinlerini yönetmek üzere bir erişim noktası ilkesi (AP ilkesi) kullanın. Bu yaklaşım, tek bir paket ilkesinde karmaşık kuralları sürdürme ihtiyacını ortadan kaldırır.

Her erişim noktasının bağımsız bir uç noktası, AP ilkesi ve ağ kısıtlaması yapılandırması vardır. Bir erişim noktası üzerinden gelen istek, RAM ilkesi ve paket ilkesine ek olarak AP ilkesine göre de değerlendirilir. Değerlendirme kuralları için OSS izinleri nasıl değerlendirir bölümüne bakın.

Geçici erişim

OSS kaynaklarına geçici erişim sağlamak için iki yöntem kullanılabilir:

STS geçici yetkilendirme — RAM rolü, hesaplar arası erişimi ve STS geçici yetkilendirmeyi etkinleştirir.
İmzalı URL — HTTP istek üstbilgisindeki Referer alanı taklit edilebildiğinden, imzalı URL hotlink korumasından daha yüksek güvenlik sağlar.

İzin kontrol yöntemlerini karşılaştırma

Aşağıdaki tablo, OSS tarafından sağlanan izin kontrol yöntemlerini karşılaştırmaktadır:

Yöntem	Yapılandırma konumu	Yönetim perspektifi	Ayrıntı düzeyi ve koşullar	Yapılandırma gereksinimleri
ACL	Bir pakette veya tek bir nesnede	Kaynak odaklı: Kaynağın herkese açık mı yoksa özel mi olduğu	Yalnızca önceden tanımlanmış izin düzeyleri. Yetkili asallar veya koşullar belirtilemez.	Paket ACL'sini yalnızca paket sahibi ayarlayabilir veya değiştirebilir.
Paket ilkesi	Bir pakette	Kaynak odaklı: Paketteki kaynaklara kimlerin erişebileceği	Yetkili asallar, eylemler, kaynaklar ve IP adresi, VPC ile zaman kısıtlamaları gibi koşullar	RAM ilkesine göre yapılandırması daha basittir ve konsolda grafiksel olarak yapılandırılabilir. Paket sahipleri, RAM işlem izinleri olmadan doğrudan erişim izinleri verebilir.
RAM ilkesi	Bir RAM kimliğinde	Kimlik odaklı: Bir kimliğin hangi OSS kaynaklarına erişebileceği	Kimlik için eylemler ve kaynaklar; isteğe bağlı koşullarla. Hem sistem ilkeleri hem de özel ilkeler desteklenir. `Principal` öğesi gerekmez.	RAM işlem izinleri gerekir.
Kontrol ilkesi	Bir kaynak dizinindeki kaynak hiyerarşisinin her düzeyinde; örneğin klasörde veya üye hesabında	Kurumsal yönetişim odaklı: Tüm kaynak dizini genelinde izin sınırlarını merkezi olarak kısıtlama	Üye hesaplar için izin sınırları; isteğe bağlı koşullarla. `Principal` öğesi gerekmez.	Resource Directory'de yönetilir.
AP ilkesi	Bir erişim noktasında	Uç nokta odaklı: Aynı pakete erişen her uygulama veya ekip için ayrı izinler	Erişim noktası üzerinden gelen istekler için eylemler, kaynaklar, asallar ve koşullar. Ağ kısıtlamaları ayrı olarak yapılandırılır.	Erişim noktasında yönetilir.

Yöntemler arasında seçim yaparken aşağıdaki rehberliği dikkate alın:

Aynı kaynağa birden çok kullanıcıyı yetkilendirme — Paket ilkesi daha verimlidir. Tek bir ilke, izin verilen kullanıcı listesini belirtir.
Tek bir kullanıcının tüm kaynak izinlerini yönetme — RAM ilkesi daha sezgiseldir.
Anonim erişim verme — İlke türleri arasında yalnızca paket ilkesi anonim erişimi destekler. ACL de public-read ve public-read-write düzeylerinde anonim erişime izin verir.
Birden çok hesapta izinleri kısıtlama — Kontrol ilkesi, izin sınırlarını merkezi olarak kısıtlar. Erişim vermekten ziyade üye hesapların neler yapmasına izin verilebileceğini sınırlandırır.
Birden çok uygulama veya ekip için erişimi ayırma — AP ilkesi, her tarafın izinlerini bağımsız tutar ve tek bir paket ilkesinde karmaşık kurallar oluşmasını önler.

Yetkilendirme ilkesi sözdizimi

Paket ilkesi, RAM ilkesi, kontrol ilkesi ve AP ilkesi JSON biçiminde tanımlanır. Temel öğeler aşağıdaki tabloda açıklanmıştır:

Öğe	Açıklama
`Effect`	Yetkilendirme etkisi: `Allow` veya `Deny`.
`Principal`	Yetkili asal. RAM ilkesi ve kontrol ilkesi bu öğeyi gerektirmez.
`Action`	Yetkili işlem; örneğin `oss:GetObject`.
`Resource`	Yetkili kaynakların kapsamı.
`Condition`	İlkenin geçerli olduğu koşul. Bu öğe isteğe bağlıdır.

Tam sözdizimi açıklaması ve Action listesi için OSS yetkilendirme sözdizimi ve öğeleri konusuna bakın.

Güvenlik koruma

Herkese Açık Erişimi Engelle

Herkese Açık Erişimi Engelle özelliğini etkinleştirdiğinizde, ACL veya paket ilkesi üzerinden yapılandırılan herkese açık yetkilendirmeler artık geçerli olmaz. Mevcut herkese açık erişim izinleri dikkate alınmaz ve yeni herkese açık erişim izinleri oluşturulamaz. Bu sayede yanlış yapılandırmadan kaynaklanan veri ifşası önlenir.

Herkese Açık Erişimi Engelle özelliğini hesap düzeyinde (tüm paketlere uygulanır) ve paket, erişim noktası ile nesne FC erişim noktası düzeylerinde yapılandırabilirsiniz. Öncelik bu sırayla azalır; dolayısıyla hesap düzeyindeki ayar en yüksek önceliğe sahiptir.

Hassas veriler depoluyorsanız ve anonim erişime ihtiyacınız yoksa, Herkese Açık Erişimi Engelle özelliğini hesap düzeyinde etkinleştirin.

Önemli

Herkese Açık Erişimi Engelle ve herkese açık erişim birbirini dışlar. Hesap, paket veya erişim noktası için Herkese Açık Erişimi Engelle etkinse public-read ACL veya herkese açık bir paket ilkesi geçerli olmaz. Kaynakları herkese açık yayımlamadan önce Herkese Açık Erişimi Engelle ayarlarını kontrol edin.

Hotlink koruması

Hotlink koruması HTTP isteklerinin kaynağını (Referer ve User-Agent üstbilgileri gibi) doğrular ve yetkisiz web sitelerinin OSS kaynaklarını referans göstermesini engeller. Hotlink korumasını beyaz listeler, kara listeler veya düzenli ifadeler kullanarak yapılandırabilirsiniz. Beyaz liste yalnızca belirtilen alan adlarına izin verirken, kara liste belirtilen alan adlarını engeller. Görüntüler ve videolar gibi kaynakların yetkisiz kullanımını önlemek için hotlink korumasını kullanın.

Referer alanı taklit edilebilir. Daha yüksek güvenlik için geçici bir erişim yöntemi olan imzalı URL kullanın.

Çapraz kaynak paylaşımı (CORS)

Varsayılan olarak tarayıcı, bir web sayfasındaki JavaScript'in farklı bir alan adındaki kaynaklara erişmesini engeller. CORS kurallarını yapılandırdığınızda OSS, yanıtta çapraz köken üstbilgilerini döndürerek tarayıcının isteğe izin vermesini sağlar. CORS, ön uçtan doğrudan dosya yükleme ve kaynak alma gibi senaryolarda uygulanır.

CORS yalnızca tarayıcıların aynı köken kısıtlamasını çözer. Erişim izinlerini vermez veya reddetmez; bu nedenle CORS'u bir izin kontrol mekanizmasının yerine değil, ona ek olarak yapılandırın.

Başvurular

OSS'teki izinler ve erişim kontrolü hakkında daha fazla bilgi için aşağıdaki konulara bakın: