Alibaba Cloud OSS「パブリックアクセスのブロック機能」アップデートについて

パブリックアクセスのブロック機能の詳細

現状、CLI環境でのAPI、SDK、OSSUtillを用いたOSSのバケット作成時、「パブリックアクセスのブロック機能」は有効化されていません。

しかし、ACLはデフォルトで「非公開(private)」設定であるため、バケット所有者のみがバケット内のオブジェクトにデータを書き込むことができ、他のユーザはバケット内のオブジェクトにアクセスできないため、結果としてブロックされた状態になっています。

今回のアップデートにより、API、SDK、またはOSSUtillを用いたバケット作成時にデフォルトで「パブリックアクセスのブロック機能」が有効となり、下位の制御手段を遮断することができるので意図せずにバケットポリシーやACLで公開設定をしてしまうという設定ミスを防ぐことができ、より安全な環境でOSSを利用できるようになります。

参考)アクセス制御手段

一方、GUIのコンソールにてバケットを作成する際は、すでにデフォルトで「パブリックアクセスのブロック機能」が有効化されています。

◆パブリックアクセスブロック機能の仕組み

「パブリックアクセスブロック機能」は、以下の2つの制御メカニズムによって機能します。

・ACL（Access Control List）の強制的な非公開設定

「パブリックアクセスブロック機能」を有効にすると、バケットのACL設定は強制的に「非公開（private）」に設定されます。これにより、意図しないパブリックな読み書きアクセスを防ぎます。

・バケットポリシーの編集不可

バケットポリシーは、バケットへのアクセス権限を詳細に設定するための強力な機能ですが、パブリックアクセスブロック機能が有効になっている場合、バケットポリシーによるパブリックアクセスを許可する設定はできなくなります。これにより、誤ったポリシー設定によるセキュリティリスクを低減します。

◆ユーザーメリット

・デフォルトでのセキュリティ強化

 API、SDK、またはOSSUtilを使用してバケットを作成する際に、手動でセキュリティ設定を行う手間を省き、最初からセキュアな状態でバケットを作成できます。

・誤設定によるデータ漏洩リスクの低減

意図しないパブリックアクセスを自動的にブロックすることで、設定ミスによるデータの公開や漏洩のリスクを大幅に削減します。

・コンプライアンス要件への対応

厳格なセキュリティ要件が求められる業界や規制において、デフォルトで高いセキュリティレベルを維持できるため、コンプライアンスへの対応が容易になります。

・運用負荷の軽減

セキュリティ設定の確認や修正にかかる運用負荷を軽減し、より本質的な業務に集中できます。

◆補足内容

・既存のACL設定への影響

既存のACL設定を「非公開」以外の「公開読み取り」「公開読み取り/書き込み」にしている状態でパブリックアクセスのブロック機能を有効化すると、ACLは強制的に「非公開」になります。

・パブリックアクセスのブロック機能を「無効化」後のACLの再設定

パブリックアクセスブロック機能を無効化しても、ACLは元の設定には戻りません。この場合、手動でACLの公開について再設定する必要があります。この点については、特に注意が必要です。

◆使い分けイメージ

設定による適用時の使い分けイメージはこのような形となります。

まとめ

今回のAlibaba Cloud OSSにおけるCLI環境でのAPIやSDK、OSSUtillなどを用いた「パブリックアクセスのブロック機能」のデフォルトでの「有効化」は、OSSユーザーの皆様にとって非常に重要なアップデートです。

これにより、バケット作成時からセキュリティが強化され、意図しないデータ公開のリスクを大幅に低減できます。特に、大量のバケットをAPI経由で作成するようなケースでは、デフォルトでのセキュリティ設定が大きなメリットとなります。

既存のバケット設定への影響や、機能無効化後のACLの再設定が必要になる点には留意しつつ、この新機能を最大限に活用し、より安全で効率的なクラウドストレージ運用を実現しましょう。

さいごに、ソフトバンクではAlibaba Cloudのアップデート情報を「Weekly Alibaba Cloud」として毎週公開していますので、興味を持たれた方はぜひご覧ください。

参考ドキュメント

• OSS: Public access blocking
• OSS：バケットACLの管理

関連サービス