:RAM ユーザーへのカスタムポリシーのアタッチ

カスタムポリシーとは

Resource Access Management (RAM) ポリシーは、システムポリシーとカスタムポリシーに分類されます。ビジネス要件に基づいてカスタムポリシーを管理できます。

• カスタムポリシーを作成した後、そのポリシーを RAM ユーザー、RAM ユーザーグループ、または RAM ロールにアタッチする必要があります。これにより、ポリシーで指定された権限がプリンシパルに付与されます。

• プリンシパルにアタッチされていない RAM ポリシーは削除できます。RAM ポリシーがプリンシパルにアタッチされている場合は、RAM ポリシーを削除する前に、プリンシパルから RAM ポリシーをデタッチする必要があります。

• カスタムポリシーはバージョン管理をサポートしています。RAM が提供するバージョン管理メカニズムに基づいて、カスタムポリシーのバージョンを管理できます。

参考資料

• カスタムポリシーの作成

• カスタムポリシーのドキュメントと説明の変更

• カスタムポリシーの削除

• ポリシー参照の管理

• カスタムポリシーバージョンの管理

手順 1: カスタムポリシーを作成する

1. 管理権限を持つ RAM ユーザーとして RAM コンソール にログオンします。

2. 左側のナビゲーションペインで、権限 > ポリシー を選択します。

3. ポリシー ページで、ポリシーの作成 をクリックします。

   

4. ポリシーの作成 ページで、JSON タブをクリックします。エディターで権限ポリシーを設定します。

   詳細については、ポリシー要素をご参照ください。

   次の例は、中国 (杭州) リージョンにあり、key0: value01 または key0: value02 タグに関連付けられているアプリケーションに対する読み取り専用権限を示しています。

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "arms:ReadTraceApp"
         ],
         "Resource": "acs:arms:cn-hangzhou:*:armsapp/*",
         "Effect": "Allow",
         "Condition": {
           "StringEquals": {
             "arms:tag/key0":[
               "value01",
               "value02"
             ]
           }
         }
       }
     ]
   }

5. 上部にある オプションの高度な最適化 をクリックします。「オプションの高度な最適化」メッセージで、実行 をクリックしてポリシーを最適化します。

   高度な最適化中に、システムは次の操作を実行します。

   • アクションと互換性のないリソースまたは条件を分割します。

   • リソースを絞り込みます。

   • ポリシーステートメントを重複排除またはマージします。

6. ポリシーの作成 ページで、OK をクリックします。

7. ポリシーの作成 ダイアログボックスで、名前 パラメーターと 説明 パラメーターを設定し、OK をクリックします。

手順 2: カスタムポリシーをアタッチする

RAM ユーザーにカスタムポリシーをアタッチする

1. RAM 管理者として RAM コンソール にログオンします。

2. 左側のナビゲーションペインで、ID > ユーザー を選択します。

3. ユーザー ページで、必要な RAM ユーザーを見つけ、アクセス許可を追加アクション 列の をクリックします。

   

   複数の RAM ユーザーを選択し、ページ下部にある 権限の追加 をクリックして、一度に複数の RAM ユーザーに権限を付与することもできます。

4. 権限の付与 パネルで、RAM ユーザーに権限を付与します。

   1. リソーススコープ パラメーターを設定します。

      • アカウント: 承認は現在の Alibaba Cloud アカウントに有効です。

      • リソースグループ: 承認は特定のリソースグループに有効です。

        重要

        「リソーススコープ」パラメーターで「リソースグループ」を選択した場合は、必要なクラウドサービスがリソースグループをサポートしていることを確認してください。詳細については、リソースグループで動作するサービス をご参照ください。リソースグループに対する権限の付与方法の詳細については、リソースグループを使用して、特定の ECS インスタンスを管理するための権限を RAM ユーザーに付与する をご参照ください。

   2. プリンシパルパラメーターを設定します。

      プリンシパルとは、権限を付与する RAM ユーザーのことです。現在の RAM ユーザーが自動的に選択されます。

   3. ポリシーパラメーターを設定します。

      ポリシーには、一連の権限が含まれています。ポリシーは、システムポリシーとカスタムポリシーに分類できます。一度に複数のポリシーを選択できます。

      • システムポリシー: Alibaba Cloud によって作成されたポリシー。これらのポリシーは使用できますが、変更することはできません。ポリシーのバージョン更新は Alibaba Cloud によって維持されます。詳細については、RAM で動作するサービス をご参照ください。

        説明

        システムは、AdministratorAccess や AliyunRAMFullAccess など、リスクの高いシステムポリシーを自動的に識別します。リスクの高いポリシーをアタッチして、不要な権限を付与しないことをお勧めします。

      • カスタムポリシー: ビジネス要件に基づいてカスタムポリシーを管理および更新できます。カスタムポリシーの作成、更新、削除ができます。詳細については、カスタムポリシーの作成 をご参照ください。

   4. 権限の付与 をクリックします。

5. 閉じる をクリックします。

RAM ロールにカスタムポリシーをアタッチする

1. RAM 管理者として RAM コンソール にログオンします。

2. 左側のナビゲーションペインで、ID > ロール を選択します。

3. ロール ページで、管理する RAM ロールを見つけ、権限の付与アクション 列の をクリックします。

   

   複数の RAM ロールを選択し、RAM ロールリストの下部にある 権限の付与 をクリックして、一度に複数の RAM ロールに権限を付与することもできます。

4. 権限の付与 パネルで、RAM ロールに権限を付与します。

   1. リソーススコープパラメーターを設定します。

      • アカウント: 承認は現在の Alibaba Cloud アカウントに有効です。

      • リソースグループ: 承認は特定のリソースグループに有効です。

        説明

        リソーススコープパラメーターにリソースグループを選択する場合は、必要なクラウドサービスがリソースグループをサポートしていることを確認してください。詳細については、リソースグループで動作するサービスを参照してください。

   2. プリンシパルパラメーターを構成します。

      プリンシパルとは、権限を付与するRAMロールです。現在のRAMロールが自動的に選択されます。

   3. ポリシーパラメータを設定します。

      ポリシーは、アクセス許可のセットです。一度に複数のポリシーを選択できます。

      • システムポリシー: Alibaba Cloud によって作成されたポリシー。これらのポリシーは使用できますが、変更することはできません。ポリシーのバージョン更新は Alibaba Cloud によって管理されます。詳細については、RAMと連携するサービス を参照してください。

        説明

        システムは、AdministratorAccess や AliyunRAMFullAccess などの高リスクのシステムポリシーを自動的に識別します。高リスクのポリシーをアタッチして、不要な権限を付与しないことをお勧めします。

      • カスタムポリシー: ビジネス要件に基づいてカスタムポリシーを管理および更新できます。カスタムポリシーの作成、更新、削除ができます。詳細については、カスタムポリシーの作成 を参照してください。

   4. 権限の付与をクリックします。

5. 閉じるをクリックします。

RAMロールにポリシーをアタッチした後、RAMロールを使用してARMSコンソールにログオンできます。詳細については、RAMロールを引き受けるを参照してください。

ポリシー要素

効果

ステートメントの結果が明示的な許可か明示的な拒否かを指定します。有効な値：許可と拒否。

アクション

リソース

ポリシーが有効になるリソースを指定します。

ステートメントの例：

"Resource": [
     "acs:arms:<regionid>:*:armsapp/<appname>"
 ]

• <regionid>は、指定されたリージョンIDに置き換えます。すべてのリソースの権限を付与する場合は、<regionid>を*に置き換えます。

• <appname>は、指定されたアプリケーション名に置き換えます。すべてのアプリケーションの権限を付与する場合は、<appname>を*に置き換えます。同じ名前のプレフィックスを持つアプリケーションを指定する場合は、<appname>を名前のプレフィックス*に置き換えます。例：k8s*。

条件

キーと値のペアを使用してリソースを指定できます。アプリケーションにタグを付ける方法の詳細については、タグの管理を参照してください。

• キーと値のペアは、次の演算子をサポートしています。

  • StringEquals

  • StringNotEquals

  • StringEqualsIgnoreCase

  • StringNotEqualsIgnoreCase

  • StringLike

  • StringNotLike

• 条件キー：arms:tag

• 条件キー値：キーと値のペア

"Condition": {
  "StringEquals": {       // 演算子。
    "arms:tag/key0":[      // 条件キー。
      "value01",        // 条件キーの値。
      "value02"
    ]
  }
}

参考資料

カスタムポリシーを使用するには、ビジネスの権限制御要件とARMSの承認情報を理解する必要があります。詳細については、RAM 認証をご参照ください。