バケットポリシーの設定¶

バケットポリシーはPUT Bucket policyを用いて設定します。

以下は、２人のユーザ（1-22-333-4444, 3-55-678-9100）が バケット mybucket（grn:iijgio:dag:::mybucket/*）内のオブジェクトに対してGETリクエスト（dag:GetObject*）を実行できるようにする設定のサンプルです。

PUT /?policy HTTP/1.1
Host: mybucket.storage-dag.iijgio.com
Date: Tue, 04 Apr 2010 20:34:56 GMT
Authorization: IIJGIO VGhpcyBSAMPLEBieSB1bHZpbmc=

{
"Version":"2008-10-17",
"Id":"aaaa-bbbb-cccc-dddd",
"Statement" : [
    {
        "Effect":"Allow",
        "Sid":"1",
        "Principal" : {
            "IIJGIO":["1-22-3333-4444","3-55-678-9100"]
        },
        "Action":["dag:GetObject*"],
        "Resource":"grn:iijgio:dag:::mybucket/*"
    }
  ]
}

バケットポリシーの取得¶

指定のバケットへ設定されているバケットポリシーの取得にはGET Bucket policyを使用します。

以下は mybucket.storage-dag.iijgio.com のバケットに設定されているバケットポリシーを取得するサンプルです。

GET ?policy HTTP/1.1
Host: mybucket.storage-dag.iijgio.com
Date: Wed, 28 Oct 2009 22:32:00 GMT
Authorization: IIJGIO 02236Q3V0WHVSRSAMPLEEX5sCYVf1bNRuU=

バケットポリシーの削除¶

バケットに関連するバケットポリシー設定の削除は、DELETE Bucket policyを使用します。

以下は “mybucket” に関連するバケットポリシーを削除するサンプルです。

DELETE ?policy HTTP/1.1
Host: mybucket.storage-dag.iijgio.com
Date: Tue, 04 Apr 2010 20:34:56 GMT
Authorization: IIJGIO VGhpcyBSAMPLEeSB1bHZpbmc=

サンプル¶

制約が追加された複数のアカウントに対して、パーミッションを設定するサンプル

以下はpublic-readというCanned ACLが含まれている複数のアカウントに対してPutObject, PutObjectAclを許可するサンプルです。

{
    "Version": "2008-10-17",
    "Statement": [{
        "Sid": "AddCannedAcl",
        "Effect": "Allow",
        "Principal": {
            "IIJGIO": ["SAMPLE00000000000000", "SAMPLE00000000000001"]
        },
        "Action": ["dag:PutObject","dag:PutObjectAcl"],
        "Resource": ["grn:iijgio:dag:::bucket/*"],
        "Condition": {
            "StringEquals": {
                "dag:x-iijgio-acl": ["public-read"]
            }
        }
    }]
}

anonymousユーザにパーミッションを設定するサンプル

以下はanonymousユーザにパーミッションを許可するサンプルです。

{
    "Version": "2008-10-17",
    "Statement": [{
        "Sid": "AddPerm",
        "Effect": "Allow",
        "Principal": {
            "IIJGIO": "*"
        },
        "Action": ["dag:GetObject"],
        "Resource": ["grn:iijgio:dag:::bucket/*"]
    }]
}

指定のIPアドレスに対してアクセスを制限するサンプル

以下はIPアドレス指定に基づくパーミッション付与のサンプルです。指定可能なIPアドレスはFAQの「IPアドレスを元にアクセス制御を行うことができますか？ 」を参照してください。

{
   "Id": "S3PolicyIdl",
   "Statement": [
       {
           "Action": "dag:*",
           "Condition": {
               "IpAddress": {
                   "iijgio:SourceIp": "10.13.0.0/24"
               },
               "NotIpAddress": {
                   "iijgio:SourceIp": "10.13.0.2/32"
               }
           },
           "Effect": "Allow",
           "Principal": {
               "IIJGIO": "*"
           },
           "Resource": "grn:iijgio:dag:::bucket/*",
           "Sid": "IPAllow"
       },
       {
           "Action": "dag:*",
           "Condition": {
               "IpAddress": {
                   "iijgio:SourceIp": "10.12.0.0/24"
               }
           },
           "Effect": "Deny",
           "Principal": {
               "IIJGIO": "*"
           },
           "Resource": "grn:iijgio:dag:::bucket/*",
           "Sid": "IPDeny"
       }
   ],
   "Version": "2008-10-17"
}

指定のHTTP Refererに対してアクセスを制限するサンプル

以下はHTTP Refererに基づくパーミッション付与のサンプルです。

{
    "Version": "2008-10-17",
    "Id": "http referer policy example",
    "Statement": [{
        "Sid": "Allow get requests referred by wwwmysitecom and mysite.com",
        "Effect": "Allow",
        "Principal": {
            "IIJGIO": "*"
        },
        "Action": "dag:GetObject",
        "Resource": "grn:iijgio:dag:::example-bucket/*",
        "Condition": {
            "StringLike": {
                "iijgio:Referer": [
                    "http://www.mysite.com/*",
                    "http://mysite.com/*"
                ]
            }
        }
    }]
}

Resources, Operaitons, Conditions について¶

バケットポリシー内にリソースを指定します。

Bucket Policy の中では、バケット, オブジェクトを参照させることができます。

リソースは、以下のようなリソース記述子（GRN）のフォーマットで記述します。

• grn:iijgio:dag:::[resourcename]

リソース名には、アクセス対象のバケットの完全修飾名もしくはオブジェクト名を指定します。

対象がバケットの場合は、”BucketName” というように指定します。

対象がオブジェクトの場合は、”BucketName/ObjectKey” と指定します。

• BucketNameはバケット名、ObjectKeyはオブジェクトのKey表しています。

• 例） バケットが”mybucket”で、オブジェクトのKeyが”shared/developer/settings.conf”の場合は以下のようになります。

  • mybucket/shared/developer/settings.conf

オペレーション

以下がバケットポリシー内に設定するオペレーションの形式です。

バケットに関連するAction

• dag:CreateBucket
• dag:DeleteBucket
• dag:ListBucket
• dag:GetBucketAcl
• dag:PutBucketAcl
• dag:GetBucketLocation
• dag:GetBucketPolicy
• dag:PutBucketPolicy
• dag:DeleteBucketPolicy
• dag:ListBucketMultipartUploads
• dag:GetBucketCORS
• dag:PutBucketCORS
• dag:GetBucketWebsite
• dag:PutBucketWebsite
• dag:DeleteBucketWebsite

オブジェクトに関連するAction

• dag:GetObject
• dag:PutObject
• dag:DeleteObject
• dag:GetObjectAcl
• dag:PutObjectAcl
• dag:ListMultipartUploadParts
• dag:AbortMultipartUpload

バケットポリシー内に出てくるバケットのKey

下の表は、バケットポリシー設定内でバケットに関するKey。

バケットポリシー内に出てくるオブジェクトのKey

下の表は、バケットポリシー設定内でオブジェクトに関するKey。

APIとActionの対応

ActionはAPIと以下の様な関係があります。制御したいAPIに応じてActionを選択下さい。

ワイルドカードの指定について¶

Action、Principal、Resourceにはワイルドカード(アスタリスク)を指定することが可能です。

{
     "Version": "2008-10-17",
     "Id": "policy-allow-all",
     "Statement": {
         "Sid": "allow-all",
         "Effect": "Allow",
         "Principal": {
             "IIJGIO": "*"
         },
         "Resource" , "grn:iijgio:dag:::bucket",
         "Action": "dag:*"
     }
 }