:ポリシーとサンプルポリシー

RAMでは、ポリシーはポリシー構文と構造に基づいて記述される一連の権限です。 ポリシーは、許可されたリソースセット、アクションセット、および許可条件を正確に記述します。 Function Computeのポリシーには、次の種類があります。

• システムポリシー: Alibaba Cloudによって作成されたポリシー。 これらのポリシーは使用できますが、変更することはできません。 Alibaba Cloudは、ポリシーのバージョン更新を維持します。

• カスタムポリシー: 作成、更新、および削除できるポリシー。 これらのポリシーのバージョン更新を維持します。

システムポリシーには、次の種類があります。

• Function Computeのシステムポリシー

  ポリシー	説明
  AliyunFCReadOnlyAccess	すべてのFunction Computeリソースに対する読み取り専用権限。
  AliyunFCInvocationAccess	すべての関数を呼び出す権限。
  AliyunFCFullAccess	すべてのFunction Computeリソースを管理する権限。

  説明

  AliyunFCFullAccessポリシーで定義されたすべてのFunction Computeリソースを管理する権限には、AliyunFCInvocationAccessポリシーで定義されたすべての関数を呼び出す権限と、AliyunFCReadOnlyAccessポリシーで定義されたすべてのFunction Computeリソースに対する読み取り専用権限が含まれます。 AliyunFCFullAccessポリシーをRAMユーザーにアタッチした後、AliyunFCInvocationAccessまたはAliyunFCReadOnlyAccessポリシーをRAMユーザーにアタッチする必要はありません。

• 他のAlibaba Cloudサービスのシステムポリシー

  Alibaba Cloudサービス	システムポリシー
  Log Service	AliyunLogReadOnlyAccess: すべてのLog Serviceリソースに対する読み取り専用権限。 AliyunLogFullAccess: すべてのLog Serviceリソースを管理するための権限。 説明 RAMユーザーとしてLog Serviceにアクセスするには、最小権限の原則に基づいて、AliyunLogReadOnlyAccessポリシーのみをRAMユーザーにアタッチする必要があります。
  Object Storage Service (OSS)	AliyunOSSReadOnlyAccess: すべてのOSSリソースに対する読み取り専用権限。 AliyunOSSFullAccess: すべてのOSSリソースを管理するための権限。
  CloudMonitor	AliyunCloudMonitorReadOnlyAccess: すべてのCloudMonitorリソースに対する読み取り専用権限。
  SSL Certificates Service	AliyunYundunCertReadOnlyAccess: すべてのSSL証明書サービスリソースに対する読み取り専用権限。
  Virtual Private Cloud	AliyunVPCReadOnlyAccess: すべてのVPCリソースに対する読み取り専用権限。
  Elastic Compute Service (ECS)	AliyunECSReadOnlyAccess: すべてのECSリソースに対する読み取り専用権限。
  Resource Access Management (RAM)	AliyunRAMReadOnlyAccess: ユーザー、グループ、および権限情報を表示する権限を含む、すべてのRAMリソースに対する読み取り専用権限。 AliyunRAMFullAccess: すべてのRAMリソースを管理するための権限 (ユーザーの管理と権限付与の権限を含む) 。 説明 RAMユーザーにAliyunRAMReadOnlyAccessポリシーのみをアタッチする場合、RAMユーザーとしてコンソールで取得できるのはロールのリストのみです。 RAMユーザーとして他の操作を実行する必要がある場合は、AliyunRAMFullAccessポリシーをRAMユーザーにアタッチする必要があります。
  Application Real-Time Monitoring Service	AliyunARMSReadOnlyAccess: ARMSリソースに対する読み取り専用権限。 AliyunARMSFullAccess: ARMSリソースを管理するための権限。 説明 RAMユーザーとしてARMSにアクセスするには、最小権限の原則に基づいて、AliyunARMSReadOnlyAccessポリシーのみをRAMユーザーにアタッチする必要があります。
  Message Service (MNS)	AliyunMNSReadOnlyAccess: すべてのMNSリソースに対する読み取り専用権限。 AliyunMNSFullAccess: すべてのMNSリソースを管理するための権限。 説明 RAMユーザーとしてMNSにアクセスするには、最小権限の原則に基づいて、AliyunMNSReadOnlyAccessポリシーのみをRAMユーザーにアタッチする必要があります。
  EventBridge	AliyunEventBridgeReadOnlyAccess: すべてのEventBridgeリソースに対する読み取り専用権限。 AliyunEventBridgeFullAccess: すべてのEventBridgeリソースを管理するための権限。 説明 RAMユーザーとしてEventBridgeにアクセスするには、最小権限の原則に基づいて、AliyunEventBridgeReadOnlyAccessポリシーのみをRAMユーザーにアタッチする必要があります。
  Message Queue for Apache RocketMQ	AliyunMQReadOnlyAccess: Apache RocketMQリソースのすべてのMessage Queueに対する読み取り専用権限。 AliyunMQFullAccess: Apache RocketMQリソースのすべてのMessage Queueを管理するための権限。 説明 RAMユーザーとしてApache RocketMQのMessage Queueにアクセスするには、最小権限の原則に基づいて、AliyunMQReadOnlyAccessポリシーのみをRAMユーザーにアタッチする必要があります。
  Container Registry	AliyunContainerRegistryReadOnlyAccess: すべてのContainer Registryリソースに対する読み取り専用権限。 AliyunContainerRegistryFullAccess: すべてのContainer Registryリソースを管理するための権限。 説明 RAMユーザーとしてContainer Registryにアクセスするには、最小権限の原則に基づいて、AliyunContainerRegistryReadOnlyAccessポリシーのみをRAMユーザーにアタッチする必要があります。
  Apsara File Storage NAS	AliyunNASReadOnlyAccess: すべてのNASリソースに対する読み取り専用権限。 AliyunNASFullAccess: すべてのNASリソースを管理するための権限。 説明 RAMユーザーとしてNASにアクセスするには、最小権限の原則に基づいて、AliyunNASReadOnlyAccessポリシーのみをRAMユーザーにアタッチする必要があります。
  ApsaraDB RDS	AliyunRDSReadOnlyAccess: すべてのApsaraDB RDSリソースに対する読み取り専用権限。 AliyunRDSFullAccess: すべてのApsaraDB RDSリソースを管理するための権限。 説明 RAMユーザーとしてApsaraDB RDSにアクセスするには、最小権限の原則に基づいて、AliyunRDSReadOnlyAccessポリシーのみをRAMユーザーにアタッチする必要があります。
  Apsara Devops	AliyunRDCReadOnlyAccess: Apsara DevOps RDCリソースに対する読み取り専用権限。 AliyunRDCFullAccess: Apsara DevOps RDCリソースを管理するための権限。 説明 RAMユーザーとしてApsaraDB RDSにアクセスするには、最小権限の原則に基づいて、AliyunRDCReadOnlyAccessポリシーのみをRAMユーザーにアタッチする必要があります。

 {
        "Statement": [
            {
                "Action": [
                    "ram:PassRole"
                ],
                "Effect": "Allow",
                "Resource": "*"
            }
        ],
        "Version": "1"
    }

上記の操作とリソースを使用して、中国 (杭州) リージョンのtestサービスでdemo関数を呼び出す権限を付与するために使用される次のカスタムポリシーを定義できます。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "fc:InvokeFunction"
            ],
            "Resource": "acs:fc:cn-hangzhou:*:services/test/functions/demo",
            "Effect": "Allow"
        }
    ]
}