APIキーをワークスペースのフォルダーに制限

フォルダーアンカーを設定すると、選択したサブツリーが認証情報から見えるルートになります。この制限はWebDAVとS3のゲートウェイで実装され、RESTとSFTPには適用されません。

対応する組み合わせ

プロフィール → API（APIキー）を開き、API：APIキーを作成を選んで制限と有効期限を展開してください。アクセス範囲はどこまでですか？でワークスペースを1つ選び、フォルダーを選択…を使用してください。選択画面のタイトルはキーのアクセス範囲をフォルダーに制限、確定ボタンはフォルダーを選択です。

ProtocolsでWebDAVまたは**「S3」ゲートウェイ**を選択してください。ワークスペースのロールには、WebDAVではaccess_webdav、S3ではaccess_s3が必要です。通常のRESTはThis API key is anchored at a folder and can only be used over WebDAV or the S3 gatewayを含むJSONを返します。SFTPクライアントには、代わりにゲートウェイ認証またはリクエストの失敗が報告されます。

手順

1. アンカーにするフォルダー内と同階層の別フォルダー内にそれぞれ1件のファイルを含む、使い捨てのワークスペースツリーを作成してください。
2. キーのダイアログで必要な操作権限を選び、ワークスペースを固定し、**フォルダーを選択…**からアンカーを選んでWebDAVまたはS3を許可してください。
3. WebDAV用のdos_…シークレットを生成してください。S3の場合は保存したキーを展開し、「S3」の認証情報の有効化を選び、一度だけ表示されるアクセスキーID、シークレットアクセスキー、エンドポイント、リージョンをコピーしてください。
4. メンバーのロールに該当するプロトコル権限があることを確認し、WebDAVをマウントするかS3のワークスペースにアクセスして、そのルートが選択したフォルダーから始まることを確認してください。
5. 選択したキーの権限に応じて、そのサブツリー内で許可されたテスト項目を読み取るか書き込んでください。
6. 同階層のパスをリクエストして拒否されることを確認し、検証した範囲を記録してから使い捨てキーを取り消してください。

アンカーのライフサイクル

スコープ、プロトコル、現在のメンバーロール、ロック、その他のキー条件は引き続き適用されます。WebDAVはThis API key is not permitted to use WebDAVやThis role is not permitted to use WebDAVなどのテキストを返します。S3は同等のゲートウェイまたはロールのメッセージを含むXMLのAccessDenied応答を返します。メンバー自身のフォルダー制限によって認証情報の範囲がさらに狭まる場合があります。両者の範囲に互換性がない場合はThis API key is anchored outside your permitted folderが返されます。

アンカーをゴミ箱に移動すると、WebDAVとS3はThis API key's anchor folder is no longer availableを返します。そのフォルダーを元に戻すと、IDを再び使用できる場合があります。アンカーまたはそれを含むサブツリーを完全に削除すると、そこに固定されたすべてのキーが削除され、REST/S3認証キャッシュが消去されます。キーの削除は取り消せません。

有効なアンカーを移動または名前を変更しても保存済みのフォルダーIDは変わりません。クライアントは新たな範囲の認証情報を受け取るのではなく、同じサブツリーを新しい場所または名前で参照します。

期待される結果

プロトコルのルートには選択したフォルダーとその配下が表示され、同階層のデータにはアクセスできません。アンカーをゴミ箱に移動または完全に削除すると、アクセス範囲を広げずにアクセスが拒否されます。

関連ガイド

• APIキーの作成と管理
• キーの権限を選択
• メンバーをフォルダーに制限