場景描述

UID為174649585760xxxx的用戶在OSS中創(chuàng)建了名為examplebucket的存儲空間，用于存放企業(yè)的重要數(shù)據(jù)。此外，用戶還購買了多臺ECS運行業(yè)務(wù)，業(yè)務(wù)環(huán)境搭建在ID為t4nlw426y44rd3iq4xxxx的專有網(wǎng)絡(luò)VPC內(nèi)。

該用戶希望僅允許當前VPC訪問OSS指定資源examplebucket，從而對數(shù)據(jù)流進行VPC源端訪問控制。此外，還需要阻止所有非當前VPC的OSS訪問請求，從而對數(shù)據(jù)流進行Bucket目的端訪問控制。

步驟一：配置VPC Policy

通過VPC Policy限制ID為t4nlw426y44rd3iq4xxxx的專有網(wǎng)絡(luò)VPC僅允許訪問OSS中examplebucket下的資源。

1. 登錄專有網(wǎng)絡(luò)管理控制臺。

2. 在左側(cè)導(dǎo)航欄，單擊終端節(jié)點。

3. 在頂部菜單欄處，選擇要創(chuàng)建網(wǎng)關(guān)終端節(jié)點的地域。

4. 單擊網(wǎng)關(guān)終端節(jié)點頁簽，然后單擊創(chuàng)建終端節(jié)點。

5. 在創(chuàng)建終端節(jié)點頁面，配置以下參數(shù)信息，然后單擊確定創(chuàng)建。

   參數(shù)	說明
   節(jié)點名稱	輸入網(wǎng)關(guān)終端節(jié)點的名稱。
   終端節(jié)點類型	選擇需要創(chuàng)建的終端節(jié)點類型，本教程選擇網(wǎng)關(guān)終端節(jié)點。
   終端節(jié)點服務(wù)	單擊選擇可用服務(wù)，然后選擇服務(wù)資源類型為對象存儲OSS的終端節(jié)點服務(wù)。
   專有網(wǎng)絡(luò)	選擇需要創(chuàng)建網(wǎng)關(guān)終端節(jié)點的VPC。
   路由表	選擇與網(wǎng)關(guān)終端節(jié)點關(guān)聯(lián)的路由表。
   資源組	選擇終端節(jié)點所屬資源組。
   描述	輸入終端節(jié)點的描述信息。
   訪問策略	輸入以下訪問策略。 { "Statement": [ { "Action": "oss:*", "Effect": "Allow", "Principal": ["174649585760xxxx"], "Resource": ["acs:oss:*:*:examplebucket", "acs:oss:*:*:examplebucket/*"] } ], "Version": "1" } 重要 如果沒有配置VPC Policy，則默認允許該VPC訪問相同地域的Bucket。如果配置了VPC Policy，則只有鑒權(quán)結(jié)果為Allow時，才允許該VPC訪問相同地域的Bucket。

步驟二：配置Bucket Policy

通過Bucket Policy阻止ID不為t4nlw426y44rd3iq4xxxxVPC網(wǎng)絡(luò)請求訪問OSS資源。

1. 登錄OSS管理控制臺。

2. 在左側(cè)導(dǎo)航欄，單擊Bucket 列表，然后單擊examplebucket。

3. 在左側(cè)導(dǎo)航欄，選擇權(quán)限控制>Bucket 授權(quán)策略。

4. 在Bucket 授權(quán)策略頁簽，單擊按語法策略添加。

5. 單擊編輯，然后輸入以下Bucket Policy。

   {
     "Statement" :
       [
         {
           "Action": ["oss:*"],
           "Effect": "Deny",
           "Principal": ["*"],
           "Resource": "acs:oss:*:*:*",
           "Condition":
             {
               "StringNotEquals" :
                 {
                   "acs:SourceVpc": ["t4nlw426y44rd3iq4xxxx"]
                 }
             }
         }
       ] ,
     "Version": "1"
   }

   重要

   如果Bucket Policy鑒權(quán)結(jié)果為Deny，則拒絕訪問。如果鑒權(quán)結(jié)果不是Deny，則需要結(jié)合RAM Policy等結(jié)果綜合判定是否允許訪問。更多信息，請參見OSS鑒權(quán)詳解。

6. 單擊保存后，在彈出的對話框，單擊確定。