Tablestore:カスタムポリシーの作成

単一の API 操作

"Action": "ots:GetRow"                    

複数の API 操作

"Action": [
"ots:PutRow",
"ots:GetRow"
]                  

すべての読み取り専用 API 操作

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ots:BatchGet*",
        "ots:Describe*",
        "ots:Get*",
        "ots:List*",
        "ots:Consume*",
        "ots:Search",
        "ots:ComputeSplitPointsBySize"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}                

すべての読み取りおよび書き込み API 操作

"Action": "ots:*"               

すべての SQL 関連 API 操作

"Action": "ots:SQL*"

インスタンス管理操作

インスタンス管理操作はインスタンス関連の操作であり、Tablestore コンソールでのみ呼び出すことができます。インスタンス管理操作の Action 要素と Resource 要素を指定すると、Tablestore コンソールでいくつかの機能が使用できなくなる場合があります。次のリソースの名前からは、acs:ots:[region]:[user_id]: 接頭辞が省略されています。インスタンスとテーブルについてのみ説明します。

テーブル操作とデータの読み取り/書き込み操作

テーブル操作とデータの読み取り/書き込み操作は、テーブルと行に対して実行され、Tablestore コンソールまたは Tablestore SDK を使用して呼び出すことができます。テーブル操作とデータの読み取り/書き込み操作の Action 要素と Resource 要素を指定すると、Tablestore コンソールでいくつかの機能が使用できなくなる場合があります。次のリソースの名前からは、acs:ots:[region]:[user_id]: 接頭辞が省略されています。インスタンスとテーブルについてのみ説明します。

Tunnel Service の操作

Tunnel Service の操作はトンネル関連の操作であり、Tablestore コンソールまたは Tablestore SDK を使用して呼び出すことができます。Tunnel Service の操作の Action 要素と Resource 要素を指定すると、Tablestore コンソールでいくつかの機能が使用できなくなる場合があります。次のリソースの名前からは、acs:ots:[region]:[user_id]: 接頭辞が省略されています。インスタンスとテーブルについてのみ説明します。

IP アドレスベースのアクセス制御

Tablestore リソースへのアクセスを許可される IP アドレスまたは CIDR ブロックを指定するために、IP アドレスホワイトリストを作成できます。IP アドレスベースのアクセス制御は、次のシナリオに適しています。

• 複数の IP アドレスからのアクセスを許可する

  次のサンプルコードは、IP アドレス 10.10.XX.XX と 10.11.XX.XX からの Tablestore リソースへのアクセスリクエストのみを許可する方法の例を示しています。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.11.XX.XX"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                           

• 1 つの IP アドレスまたは CIDR ブロックからのアクセスのみを許可する

  次のサンプルコードは、IP アドレス 10.10.XX.XX または CIDR ブロック 10.10.XX.XX/24 からの Tablestore リソースへのアクセスリクエストのみを許可する方法の例を示しています。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.10.XX.XX/24"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                            

HTTPS ベースのアクセス制御

HTTPS 経由で送信されたリクエストのみが Tablestore リソースにアクセスできるように、カスタムポリシーを作成できます。

次のサンプルコードは、HTTPS 経由で送信されたリクエストのみが Tablestore リソースにアクセスできるようにする方法の例を示しています。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:SecureTransport": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

TLS バージョンベースのアクセス制御

TLS V1.2 または TLS V1.3 経由で送信されたリクエストのみが Tablestore リソースにアクセスできるように、カスタムポリシーを作成できます。

次のサンプルコードは、TLS V1.2 または TLS V1.3 経由で送信されたリクエストのみが Tablestore リソースにアクセスできるようにする方法の例を示しています。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ots:*",
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                  "ots:TLSVersion": [
                    "TLSv1.2",
                    "TLSv1.3"
                  ]
                }
            }
        }
    ]
}

MFA ベースのアクセス制御

MFA に合格したリクエストのみが Tablestore リソースにアクセスできるように、カスタムポリシーを作成できます。

次のサンプルコードは、MFA に合格したリクエストのみが Tablestore リソースにアクセスできるようにする方法の例を示しています。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent ": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

時間ベースのアクセス制御

リクエストのアクセス時間を指定するカスタムポリシーを作成できます。指定された時点より前に送信されたアクセスリクエストは許可または拒否されます。

次のサンプルコードは、2016 年 1 月 1 日 00:00 (UTC+8) より前にのみユーザーが Tablestore リソースにアクセスできるようにする方法の例を示しています。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "DateLessThan": {
                    "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                }
            }
        }
    ],
    "Version": "1"
}                    

シナリオ 1: 複数のアクセス制御条件

このシナリオでは、10.10.XX.XX/24 CIDR ブロックを使用する RAM ユーザーは、online-01 および online-02 という名前のインスタンスと、インスタンス内のすべてのテーブル (テーブルからのデータの読み取りとテーブルへのデータの書き込みを含む) を管理できます。アクセスは、2016 年 1 月 1 日 00:00:00 より前に HTTPS 経由でのみ許可されます。

1. RAM コンソール にログオンします。RAM サービスをアクティブ化する必要があることに注意してください。

2. カスタムポリシーを作成します。

   1. 左側のナビゲーションペインで、権限 > ポリシー を選択します。

   2. ポリシーページで、ポリシーの作成をクリックします。

   3. ポリシーの作成ページで、JSON タブをクリックします。JSON タブで、ポリシードキュメントに次のコードを入力します。

      {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "ots:*",
              "Resource": [
                  "acs:ots:*:*:instance/online-01",
                  "acs:ots:*:*:instance/online-01/table*",
                  "acs:ots:*:*:instance/online-02",
                  "acs:ots:*:*:instance/online-02/table*"
              ],
              "Condition": {
                  "IpAddress": {
                      "acs:SourceIp": [
                          "10.10.XX.XX/24"
                      ]
                  },
                  "DateLessThan": {
                      "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                  },
                  "Bool": {
                      "acs:SecureTransport": "true"
                  }
              }
          }
      ],
      "Version": "1"
      }                            

   4. ポリシー情報編集に進むをクリックします。基本情報セクションで、ポリシーの名前と説明を入力します。

   5. OK をクリックします。

3. ポリシーを RAM ユーザーにアタッチします。

   1. 左側のナビゲーションペインで、ID > ユーザー を選択します。

   2. ユーザーページで、ポリシーをアタッチする RAM ユーザーを見つけます。アクション列で、権限の追加をクリックします。

   3. 権限の付与パネルで、カスタムポリシーを選択し、作成したポリシーの名前を検索して、ポリシーの横にあるチェックボックスをオンにして 選択済みポリシー列に追加します。

   4. 権限の付与をクリックします。

   5. 閉じるをクリックします。

シナリオ 2: リクエストの拒否

このシナリオでは、IP アドレス 10.10.XX.XX を使用する RAM ユーザーは、中国 (北京) リージョンで名前に online または product 接頭辞が含まれるインスタンスに属するテーブルにデータを書き込むことができません。このポリシーは、インスタンスに対する操作には有効ではありません。

1. RAM コンソール にログオンします。RAM サービスをアクティブ化する必要があることに注意してください。

2. カスタムポリシーを作成します。

   1. 左側のナビゲーションペインで、権限 > ポリシー を選択します。

   2. ポリシーページで、ポリシーの作成をクリックします。

   3. ポリシーの作成ページで、JSON タブをクリックします。JSON タブで、ポリシードキュメントに次のコードを入力します。

      {
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "ots:Create*",
                      "ots:Insert*",
                      "ots:Put*",
                      "ots:Update*",
                      "ots:Delete*",
                      "ots:BatchWrite*"
                  ],
                  "Resource": [
                      "acs:ots:cn-beijing:*:instance/online*/table*",
                      "acs:ots:cn-beijing:*:instance/product*/table*"
                  ],
                  "Condition": {
                      "IpAddress": {
                          "acs:SourceIp": [
                              "10.10.XX.XX"
                          ]
                      }
                  }
              }
          ],
          "Version": "1"
      }                 

   4. ポリシー情報編集に進むをクリックします。基本情報セクションで、ポリシーの名前と説明を入力します。

   5. OK をクリックします。

3. ポリシーを RAM ユーザーにアタッチします。

   1. 左側のナビゲーションペインで、ID > ユーザー を選択します。

   2. ユーザーページで、ポリシーをアタッチする RAM ユーザーを見つけます。アクション列で、権限の追加をクリックします。

   3. 権限の付与パネルで、カスタムポリシーを選択し、作成したポリシーの名前を検索して、ポリシーの横にあるチェックボックスをオンにして 選択済みポリシー列に追加します。

   4. 権限の付与をクリックします。

   5. 閉じるをクリックします。