Tenant Access Control List のルール評価

Tenant ACL の決定論的エンジンが、ルールの一致判定と実行をどのように評価するかを学びます。

Tenant ACL は、受信リクエストを評価するために決定論的エンジンを使用します。アクション (許可、ブロック、またはリダイレクト) を実行するかどうかを判断するために、エンジンは次の手順で評価を行います。

1. 評価順序 (優先度)

2. 条件の一致 (シグナル)

3. 一致時の評価終了 (監視モードの例外あり)

​

評価順序

Tenant ACL は、優先度番号の低い順にルールを評価します。評価は最も小さい番号である優先度 0 から始まり、順に進みます。

2 つのルールのどちらもリクエストに一致する可能性がある場合は、優先度番号が低いほうが先にトリガーされます。

​

条件のマッチング

1 つのルールがそのアクションをトリガーするには、マッチングロジックを満たす必要があります。このロジックは、複数の値や複数のシグナル種別をエンジンがどのように扱うかを決定します。

ロジックの種類	挙動	説明	例
シグナルのマッチング	OR	特定のシグナル内では、そのシグナル要件を満たすために、リクエストがリスト内の少なくとも 1 つの項目に一致する必要があります。	ipv4_cidrs に複数の IP CIDR が含まれている場合、そのうち少なくとも 1 つに一致する必要があります。
複数シグナル	AND	1 つのルールに複数の異なるシグナル種別が含まれている場合、リクエストは指定されたすべてのシグナル種別に一致する必要があります。例外として、1 つのルールに ipv4_cidrs と ipv6_cidrs の両方が含まれている場合は、どちらか一方だけ一致すれば十分です。	ルールに ipv4_cidrs と asn の両方がある場合は、両方に一致する必要があります。

ルールで指定されていないシグナル種別は無視され、ルールの評価ロジックには影響しません。

​

マッチの終了

Tenant ACL は、最初に一致したルールを適用します。ルールの条件がすべて満たされると、その後の動作は、そのルールが監視モードかどうかによって異なります。

Behavior	監視モードが無効	監視モードが有効
ログ	acls_summary のログイベントが発生します。	acls_summary のログイベントが発生します。
実行	ルールで定義されたアクションが即座に実行されます。	ルールで定義されたアクションは実行されません。
評価	評価は終了します。後続の Tenant ACL ルールや、優先度の低い Tenant ACL ルールは評価されません。	評価は継続し、優先度リスト内の次のルールに進みます。