Tenant Access Control List のルール評価

Tenant ACL は、受信リクエストを評価するために決定論的エンジンを使用します。アクション (許可、ブロック、またはリダイレクト) を実行するかどうかを判断するために、エンジンは次の手順で評価を行います。

評価順序

Tenant ACL は、優先度番号の低い順にルールを評価します。評価は最も小さい番号である優先度 0 から始まり、順に進みます。 2 つのルールのどちらもリクエストに一致する可能性がある場合は、優先度番号が低いほうが先にトリガーされます。

1 つのルールがそのアクションをトリガーするには、マッチングロジックを満たす必要があります。このロジックは、複数の値や複数のシグナル種別をエンジンがどのように扱うかを決定します。

ロジックの種類	挙動	説明	例
シグナルのマッチング	OR	特定のシグナル内では、そのシグナル要件を満たすために、リクエストがリスト内の少なくとも 1 つの項目に一致する必要があります。	`ipv4_cidrs` に複数の IP CIDR が含まれている場合、そのうち少なくとも 1 つに一致する必要があります。
複数シグナル	AND	1 つのルールに複数の異なるシグナル種別が含まれている場合、リクエストは指定されたすべてのシグナル種別に一致する必要があります。例外として、1 つのルールに `ipv4_cidrs` と `ipv6_cidrs` の両方が含まれている場合は、どちらか一方だけ一致すれば十分です。	ルールに `ipv4_cidrs` と `asn` の両方がある場合は、両方に一致する必要があります。

ルールで指定されていないシグナル種別は無視され、ルールの評価ロジックには影響しません。

Tenant ACL は、最初に一致したルールを適用します。ルールの条件がすべて満たされると、その後の動作は、そのルールが監視モードかどうかによって異なります。

Behavior	監視モードが無効	監視モードが有効
ログ	`acls_summary` のログイベントが発生します。	`acls_summary` のログイベントが発生します。
実行	ルールで定義されたアクションが即座に実行されます。	ルールで定義されたアクションは実行されません。
評価	評価は終了します。後続の Tenant ACL ルールや、優先度の低い Tenant ACL ルールは評価されません。	評価は継続し、優先度リスト内の次のルールに進みます。