API Gateway:RAMを使用してAPIリソースの権限を管理する

• RAMユーザーはAPI Gatewayのリソースを管理できます。 たとえば、RAMユーザーは、APIグループ、API、またはプラグインを表示、作成、または削除できます。 ただし、RAMユーザーはリソースを所有していません。 Alibaba Cloudアカウントを使用して、RAMユーザーからリソースに対する権限をいつでも取り消すことができます。

• タグベースの認証を使用して、Alibaba CloudアカウントとRAMユーザーの間でリソースを分離できます。

• RAMを使用してAPIリソースのアクセス許可を管理する前に、RAMとAPI Gatewayに精通していることを確認してください。 Alibaba Cloudヘルプセンターでは、RAMとAPI Gatewayに関するドキュメントを提供しており、サービスに慣れることができます。

セクション1: ポリシーの概要

ポリシーは、権限の詳細を定義し、効果、リソース、アクション、条件の基本要素を含みます。

1. システムポリシー

API Gatewayは、AliyunApiGatewayFullAccessおよびAliyunApiGatewayReadOnlyAccessの組み込みシステムポリシーを提供します。 RAMコンソールにログインして、[ポリシー] ページでこれらのポリシーを表示できます。

• AliyunApiGatewayFullAccess: RAMユーザーが、APIグループ、API、スロットリングポリシー、アプリケーションなど、関連するAlibaba Cloudアカウント内のすべてのAPI Gatewayリソースを管理することを許可します。

• AliyunApiGatewayReadOnlyAccess: RAMユーザーは、APIグループ、API、スロットリングポリシー、アプリケーションなど、関連するAlibaba Cloudアカウント内のすべてのAPI Gatewayリソースを表示できます。 ただし、RAMユーザーはリソースを管理できません。

2. カスタムポリシー

カスタムポリシーを作成して、特定のアクションや特定のリソースに対する権限など、より詳細な権限を付与できます。 たとえば、GetUsersの編集権限を付与するカスタムポリシーを作成できます。 作成したカスタムポリシーを表示するには、次の手順を実行します。RAMコンソールにログインします。 左側のナビゲーションウィンドウで、[権限]> [ポリシー] を選択します。 表示されるページで、[ポリシータイプ] ドロップダウンリストから [カスタムポリシー] を選択し、ポリシーを見つけます。

セクション2: ポリシー構文

ポリシーは、特定の構文に基づいて一連の権限を定義します。 ユーザーまたはユーザーのグループにポリシーをアタッチして、特定のリソースに対する特定の権限を付与できます。

例：

{
  "Version": "1",
  "Statement": [
    {
  "Action": "apigateway:Describe *" 、
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}
                

"Action":"<service-name >:< action-name>"

セクション3: リソース構文

Resource要素は、ステートメントがカバーする1つ以上のオブジェクトを指定します。 API Gatewayでは、Resource要素でAPIグループ、スロットリングポリシー、およびアプリケーションを指定できます。 Resource要素のパラメーターは、次の形式で指定する必要があります。

acs:<service-name>:<region>:<account-id>:<relative-id>

パラメーター：

• acs: サービスのビジネススコープがAlibaba Cloudパブリッククラウドに属していることを示します。

• service-name: Alibaba Cloudサービスの名前。 この例では、apigatewayが指定されています。

• region: ポリシーが適用されるリージョンです。 このパラメーターをワイルドカード文字 (*) に設定できます。これは、ポリシーがすべてのリージョンに適用されることを示します。

• account-id: アカウントのID (123456789012 **** など) 。 このパラメーターは、ワイルドカード文字 (*) に設定できます。

• relative-id: RAMユーザーに権限を付与するリソースの説明。 このパラメーターは、ファイルパスに似た形式で指定できます。

RDPathは、次のいずれかの形式です。

acs:apigateway:$regionid:$accountid:apigroup/$groupId

例：

acs:apigateway:*:*:apigroup/cbd157704e624ab58a204fd3e0b5ad79

次の表に、API Gatewayのリソースに対するアクセス許可を管理するポリシーを作成するときに、action-nameパラメーターに指定できるAPI操作を示します。 詳細は、「API Gateway APIリファレンス」をご参照ください。

例

RAMユーザーにすべてのAPIを照会する権限を付与します。

{
          "Version": "1",
          "Statement": [
            {
                      "Action": "apigateway:Describe*",
                      "Resource":"acs:apigateway:$regionid:$accountid:apigroup/*",
                      "Effect": "Allow"
            }
          ]
}                        

'version:v1' タグがアタッチされているすべてのAPIグループを照会する権限をRAMユーザーに付与します。

{
	  "Version": "1",
	  "Statement": [
	    {
      		"Action": "apigateway:Describe*",
	      	"Resource":"acs:apigateway:$regionid:$accountid:apigroup/*",
	      	"Effect": "Allow", 
                 "Condition": {
                        "StringEquals": {
                             "apigateway:tag/version": "v1"
                        }
                 }
             }
	  ]
}			

APIグループ内のすべてのAPIを管理する権限をRAMユーザーに付与します。

{
          "Version": "1",
          "Statement": [
            {
                      "Action": "apigateway:*",
                      "Resource": [
                              "acs:apigateway:$regionid:$accountid:apigroup/$groupId",
                              "acs:apigateway:$regionid:$accountid:app/$appId",
                              "acs:apigateway:$regionid:$accountid:vpcaccess/*"
                      ],
                      "Effect": "Allow"
            }
          ]
}

注: 上記の例では、ビジネス要件に基づいて変数にワイルドカード文字 (*) を指定できます。