버킷 정책, 사용자 정책, 버킷 ACL 및 객체 ACL의 차이점
사용자 정책, 버킷 정책, 버킷 ACL 및 객체 ACL 간의 차이점은 표1에 나와 있습니다.
사용자 정책은 사용자 기반 권한 부여 방식이고 버킷 정책, 버킷 ACL 및 객체 ACL은 리소스 기반 권한 부여 방식입니다.
사용자 정책 및 버킷 정책 권한 부여는 액세스 정책 언어를 기반으로 하며 권한 제어가 보다 효율적입니다. 권한 부여는 각 작업(action)에 구체화될 수 있으며 인증 효과(effect)는 deny 또는 allow일 수 있습니다. 버킷 ACL과 객체 ACL 모두 액세스 제어 목록(ACL)을 기반으로 인증되며, 권한 제어의 효율 정도가 상대적으로 낮고 사용이 간단하지만 기본적인 읽기/쓰기 권한만 지원합니다.
사용자 정책은 익명 사용자에 대한 권한 부여를 지원하지 않습니다. 버킷 정책, 버킷 ACL 및 객체 ACL은 익명 사용자 권한 부여를 지원합니다.
사용자 정책은 CAM(Cloud Access Management) 콘솔에서 설정하고 버킷 정책, 버킷 ACL 및 객체 ACL은 COS(Cloud Object Storage) 콘솔에서 설정합니다.
표1 권한 부여 방식별 차이점 비교
|
분류 |
| 사용자 기반 인증 | 리소스 기반 인증 | 리소스 기반 인증 | 리소스 기반 인증 |
권한 제어 유연성 |
| 유연성 높음 | 유연성 높음 | 유연성 낮음 | 유연성 낮음 |
콘솔 설정 |
| CAM 콘솔 | COS 콘솔 | COS 콘솔 | COS 콘솔 |
액세스제어요소 | 사용자 | 이 계정에서 관리하는 모든 CAM 신분(서브 계정, 역할 등) | 서브 계정, 루트 계정, 익명 사용자 | 서브 계정, 기타 루트 계정, 익명 사용자 | 서브 계정, 기타 루트 계정, 익명 사용자 |
|
|
|
|
| 서브 계정 Tencent Cloud 서비스, 역할 등 |
|
| 교차 계정 권한 부여는 먼저 협업 파트너로 추가해야 함 | 교차 계정 권한 부여 직접 지원 |
|
|
| 효과 | 허용+거부 | 허용+거부 | 허용 | 허용 |
| 리소스 | 모든 클라우드 리소스, 모든 COS 버킷, 버킷 지정(접두사, 객체 등) | 버킷 지정(접두사, 객체 등) | 전체 버킷 | 객체 지정 |
| 동작 | 각 구체적인 동작 | 각 구체적인 동작(버킷 생성, 버킷 나열 제외) | 단순화된 읽기/쓰기 권한 | 단순화된 읽기/쓰기 권한 |
| 조건 | 지원 | 지원 | 미지원 | 미지원 |
적절한 권한 부여 방식을 선택하는 방법은 무엇입니까?
표1에 나열된 차이점을 통해 다양한 인증 방법의 장단점을 명확하게 볼 수 있으며 필요에 따라 적절한 권한 부여 방법을 선택할 수 있습니다.
그러나 어떤 방법을 선택하든 가능한 한 통일되게 유지하는 것이 좋습니다. 버킷 정책, 사용자 정책 및 ACL이 증가함에 따라 권한 관리 난이도가 높아집니다.
어떤 경우 ACL을 선택해야 합니까?
주의：
공개 익명 사용자 액세스(공개 읽기)는 매우 위험한 작업으로 트래픽 도용의 리스크가 있으므로 공개 읽기를 사용해야 하는 경우 보안을 위해 링크 도용 방지 설정을 할 수 있습니다. 간단한 액세스 권한을 설정하거나 버킷 및 객체에 대한 익명 액세스를 개방해야 하는 경우 ACL을 선택하십시오. 그러나 더 많은 경우에는 효율성이 높은 버킷 정책 또는 사용자 정책을 먼저 사용하는 것을 추천합니다.
단순 액세스 권한만 설정합니다.
콘솔에서 액세스 권한을 빠르게 설정합니다.
모든 익명의 인터넷 사용자에게 객체, 디렉터리 또는 버킷을 개방하며 ACL 작업이 더 편리합니다.
계정당 ACL은 1000개까지만 설정할 수 있으며, 최댓값을 초과할 경우 버킷 정책이나 사용자 정책을 대신 선택하십시오.
어떤 경우 사용자 정책을 선택해야 합니까?
사용자가 무엇을 할 수 있는지에 중점을 두는 경우 사용자 정책을 사용하는 것이 좋습니다. CAM 사용자와 그들이 속한 사용자 그룹의 권한을 확인하여 CAM 사용자가 무엇을 할 수 있는지 알아볼 수 있습니다. 권장 시나리오는 다음과 같습니다.
버킷 생성 및 버킷 나열과 같은 COS 서비스 레벨 권한을 설정하려는 경우.
루트 계정의 모든 COS 버킷 및 객체를 사용해야 하는 경우.
루트 계정으로 다수의 CAM 사용자에게 동일한 권한을 부여하려는 경우.
어떤 경우 버킷 정책을 선택해야 합니까?
COS 버킷에 누가 액세스할 수 있는지에 중점을 두는 경우 버킷 정책을 사용하는 것이 좋습니다. 버킷을 조회하고 버킷 정책을 확인하여 액세스할 수 있는 사용자를 확인할 수 있습니다. 권장 시나리오는 다음과 같습니다.
버킷에 대한 개별 권한 부여를 진행하는 경우.
ACL 대비, 개별 작업(action)에 대한 구체적인 권한 부여가 가능합니다. 권한 부여 효과(effect)는 deny 또는 allow여야 합니다.
사용자 정책 대비, 버킷 정책은 교차 계정 권한 부여 및 익명 사용자 권한 부여를 지원합니다.