オブジェクト・ストレージの保護

特定のバケット名(target.bucket.name)と特定のオブジェクト・パターン(target.object.name)の組合せを使用して、バケット内の特定のフォルダへの任意のユーザーへのアクセスを許可できます。ワイルドカードとしてアスタリスクを使用すると、任意の文字列(/*name/、 /name*/、/*name*/)のシーケンスを照合できます。

ALLOW any-user TO manage objects IN TENANCY where all {target.bucket.name = 'test-bucket', target.object.name = 'prod/*', request.user.id='ocid1.user.oc1..exampleuniqueID'}

グループによる特定のバケットへのアクセスを制限するには、特定のバケット名(target.bucket.name)、定義済タグ(target.tag.definition.name)を使用するか、任意の文字列のシーケンス(/*name/、/name*/、/*name*/)に一致するワイルドカードとしてアスタリスクを使用できます。

次の例では、BucketUsersグループ内のユーザーへのアクセスを特定のバケットに制限します。

Allow group BucketUsers to use buckets in tenancy
 where target.bucket.name='BucketFoo'

このポリシーを変更して、グループBucketUsers内のユーザーへのアクセスを、名前の先頭にProjectA_が付いているすべてのバケットに限定できます。

Allow group BucketUsers to use buckets in tenancy
 where target.bucket.name=/ProjectA_*/

接尾辞(/*_ProjectA/)または部分文字列(/*ProjectA*/)との一致を選択することもできます。

次の例では、グループBucketUsersにBucketFooという名前の特定のバケットでのオブジェクトのリスト表示と読取りを許可します。

Allow group BucketUsers to read buckets in tenancy
Allow group BucketUsers to manage objects in tenancy
 where all {target.bucket.name='BucketFoo', 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_READ'}}

次のポリシーによって前のポリシーが変更され、BucketFooのオブジェクトのリスト表示と書込みが許可されます。

Allow group BucketUsers to read buckets in tenancy 
Allow group BucketUsers to manage objects in tenancy
 where all {target.bucket.name='BucketFoo', 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_CREATE'}}

このポリシーを、一連のバケットに対する読取りまたは書込みアクセスに限定することもできます。特定のバケットではなく、正規表現またはタグを使用します。

次の例では、定義済タグ"MyTagNamespace.TagKey = MyTagValue"のすべてのバケットからグループBucketUsers別にオブジェクトをリストおよび読取りできます。

Allow group BucketUsers to read buckets in tenancy
Allow group BucketUsers to manage objects in tenancy
 where all {target.bucket.tag.MyTagNamespace.TagKey='MyTagValue', 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_READ'}}

次のポリシーは、前のポリシーを変更し、バケットに定義されたタグが、ユーザーが属するグループの定義済タグと一致するすべてのバケットへのオブジェクトのリストおよび書込みを許可します。

Allow group BucketUsers to read buckets in tenancy 
Allow group BucketUsers to manage objects in tenancy
 where all {request.principal.group.tag.MyTagNamespace.TagKey=target.bucket.tag.MyTagNamespace.TagKey, 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_CREATE'}}

オブジェクト・ストレージ・リソースへのアクセスを特定のユーザーに制限するには、変数にユーザーのOCIDを指定するポリシーに条件を追加します。

次のポリシーでは、ObjectStorageコンパートメント内のリソースへのアクセスが、指定したユーザーOCIDに制限されます:

Allow any-user to read object-family in compartment ObjectStorage where request.user.id ='ocid1.user.oc1..<user_OCID>'

許可されたIPアドレスから送信されたリクエストのみにアクセスを制限することができます。最初に、ネットワーク・ソースを作成して許可されるIPアドレスを指定します。次に、ポリシーに条件を追加して、ネットワーク・ソースのIPアドレスへのアクセスを制限します。

次のポリシーは、許可されるIPアドレスを定義するネットワーク・ソースcorpnet内のIPアドレスのみにアクセスを制限します:

Allow group CorporateUsers to manage object-family in tenancy where request.networkSource.name='corpnet'

ネットワーク・ソースの作成およびポリシーでの使用の詳細は、ネットワーク・ソースの管理を参照してください。

次の例では、グループBucketUsersは、バケットおよびオブジェクトに対して削除を除くすべてのアクションを実行できます。

Allow group BucketUsers to manage objects in tenancy
 where request.permission!='OBJECT_DELETE' 
Allow group BucketUsers to manage buckets in tenancy
 where request.permission!='BUCKET_DELETE'

次の例は、特定のバケット(BucketFoo)に対するオブジェクト削除にさらに限定しています。

Allow group BucketUsers to manage objects in tenancy
  where any {target.bucket.name!='BucketFoo', 
             all {target.bucket.name='BucketFoo',
                  request.permission!='OBJECT_DELETE'}}

保持ルールを使用してWORMコンプライアンスを実現します。保持ルールはバケット・レベルで構成され、バケット内の個々のオブジェクトすべてに適用されます。保持ルールが削除されるまで(無期限ルール)または指定された期間(期限付きルール)、オブジェクトまたはオブジェクト・メタデータを更新、上書きまたは削除できません。

次のポリシーでは、BucketUsersがテナンシ内のバケットとオブジェクトを管理でき、BucketUsersが保持ルールを作成、管理および削除できます。これらのポリシーでは、指定した時間、BucketUsersが保持ルールをロックできます。

Allow group BucketUsers to manage buckets in tenancy
Allow group BucketUsers to manage objects in tenancy

制限がさらに限定的な次のポリシーを使用すると、BucketUsersは、保持ルールのロック以外のすべてのアクションをバケットとオブジェクトに実行できます。

Allow group BucketUsers to manage buckets in tenancy
 where request.permission!='RETENTION_RULE_LOCK'
Allow group BucketUsers to manage objects in tenancy

パブリック・バケットを作成したり既存のプライベート・バケットをパブリックにしたりするには、BUCKET_CREATE権限およびBUCKET_UDPATE権限が必要です。これらの権限を削除すると、ユーザーはパブリック・バケットを作成したり、既存のバケットをパブリックに変更したりできなくなります。

Allow group BucketUsers to manage buckets in tenancy
 where any {request.permission='BUCKET_INSPECT', 
            request.permission='BUCKET_READ', 
            request.permission='PAR_MANAGE'}

{
  "datetime": 1642104527377,
  "logContent": {
    "data": {
      "additionalDetails": {
        "namespace": "mytenancy"
      },
      "availabilityDomain": "PHX-AD-1",
      "compartmentId": "ocid1.compartment.oc1..<unique_id>",
      "compartmentName": "mycompartment",
      "definedTags": null,
      "eventGroupingId": "<unique_id>",
      "eventName": "ListBuckets",
      "freeformTags": null,
      "identity": {
        "authType": null,
        "callerId": null,
        "callerName": null,
        "consoleSessionId": null,
        "credentials": "<key>",
        "ipAddress": "<ip_address>",
        "principalId": "<user_id>",
        "principalName": "<user_name>",
        "tenantId": "ocid1.tenancy.oc1..<unique_id>",
        "userAgent": "Oracle-JavaSDK/1.37.1 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
      },
      "message": "List of buckets retrieved.",
      "request": {
        "action": "GET",
        "headers": {
          "Accept": [
            "application/json"
          ],
          "Connection": [
            "keep-alive"
          ],
          "User-Agent": [
            "Oracle-JavaSDK/1.37.1 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
          ],
          "authorization": [
            "Signature headers=\"date (request-target) host\",keyId=\"<key>"
          ],
          "date": [
            "Thu, 13 Jan 2022 20:08:47 GMT"
          ],
          "opc-client-info": [
            "Oracle-JavaSDK/1.37.1"
          ],
          "opc-request-id": [
            "<unique_id>"
          ]
        },
        "id": "<unique_id>",
        "parameters": {
          "compartmentId": [
            "ocid1.compartment.oc1..<unique_id>"
          ],
          "fields": [
            "tags"
          ],
          "limit": [
            "1000"
          ],
          "param0": [
            "mytenancy"
          ]
        },
        "path": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags"
      },
      "resourceId": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags",
      "response": {
        "headers": {
          "Content-Length": [
            "2"
          ],
          "Content-Type": [
            "application/json"
          ],
          "access-control-allow-credentials": [
            "true"
          ],
          "access-control-allow-methods": [
            "POST,PUT,GET,HEAD,DELETE,OPTIONS"
          ],
          "access-control-allow-origin": [
            "*"
          ],
          "access-control-expose-headers": [
            "access-control-allow-credentials,access-control-allow-methods,access-control-allow-origin,content-length,content-type,date,opc-client-info,opc-request-id,x-api-id"
          ],
          "date": [
            "Thu, 13 Jan 2022 20:08:47 GMT"
          ],
          "opc-request-id": [
            "<unique_id>"
          ],
          "x-api-id": [
            "native"
          ]
        },
        "message": null,
        "payload": {
          "id": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags",
          "resourceName": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags"
        },
        "responseTime": "2022-01-13T20:08:47.377Z",
        "status": "200"
      },
      "stateChange": null
    },
    "dataschema": "2.0",
    "id": "<unique_id>",
    "oracle": {
      "compartmentid": "ocid1.compartment.oc1..<unique_id>",
      "ingestedtime": "2022-01-13T20:08:49.384Z",
      "loggroupid": "_Audit",
      "tenantid": "ocid1.tenancy.oc1..<unique_id>"
    },
    "source": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags",
    "specversion": "1.0",
    "time": "2022-01-13T20:08:47.377Z",
    "type": "com.oraclecloud.objectstorage.listbuckets"
  }
}