RAM ID に権限を付与する - Logic Composer - Alibaba Cloud ドキュメントセンター

Logic Composer は、関連する操作を実行するための権限を付与するロールを使用します。 RAM ユーザーと RAM ロールに権限を付与するには、このトピックに記載されている手順に従ってください。

背景情報

ワークフローを実行すると、Logic Composer は権限を付与したロールを引き受け、API 操作を呼び出すことで対応するリソースにアクセスします。 Alibaba Cloud アカウントを使用して、Logic Composer が引き受けるロールに権限を付与する場合は、Logic Composer コンソールの手順に従うことができます。 RAM ID を使用してワークフローを編集し、Alibaba Cloud サービスで操作を実行する場合は、事前に RAM ID に権限を付与する必要があります。 RAM ユーザーや RAM ロールなどの用語の詳細については、「用語」をご参照ください。

RAM ID の権限は、次のシナリオに分類できます。

RAM ID に RAM の権限がない。
RAM ID に RAM の読み取り専用権限がある。
RAM ID に RAM のすべての権限がある。

以下のセクションでは、これら 3 つのシナリオでの操作について説明します。操作には 2 つのロールが関係します。

管理者: Alibaba Cloud アカウントの管理者、または RAM の権限を持つ RAM ID。
開発者: Logic Composer の権限を持ち、ワークフローを編集し、Alibaba Cloud サービスで操作を実行する必要がある RAM ユーザーまたはロール。このトピックの手順では、例として RAM ユーザーが使用されています。この手順は、RAM ロールを使用する場合にも適用できます。

RAM ユーザーに RAM の権限がない場合

管理者の手順

RAM コンソールにログオンします。
RAM コンソールの [ロール] ページで、ロールを表示できます。RAM ロールを作成していない場合は、最初に RAM ロールを作成します。詳細については、「信頼された Alibaba Cloud サービスの RAM ロールを作成する」をご参照ください。注: 信頼されたサービスを Logic Composer に設定する必要があります。ロール名は必要に応じて設定できます。この例では、ロール名として AliyunLogicComposerDefaultRole を使用しています。
手順 2 で作成した RAM ロールに権限を付与します。開発者と事前に連絡を取り、ワークフローに必要な権限を確認できます。詳細については、「RAM ロールに権限を付与する」をご参照ください。
RAM コンソールの [ポリシー] ページで、権限ポリシーを表示できます。カスタムポリシーを作成していない場合は、最初にカスタムポリシーを作成します。詳細については、「カスタムポリシーを作成する」をご参照ください。RAM ユーザーに権限を付与するには、次の権限を追加する必要があります。

{    
  "Statement": [       
        {            
              "Action": "ram:PassRole",            
              "Resource": "acs:ram::<your uid>:role/<role name>",   
              "Effect": "Allow",
              "Condition": {                
                    "StringEquals": {                    
                           "acs:Service": "composer.aliyuncs.com"                
                     }            
               }        
         }    
  ],    
  "Version": "1"
}

RAM ロールの情報を表示することができ、ページで ARN をコピーしてリソース情報を取得できます。

5. RAM コンソールの [概要] ページで、開発者に対応する RAM ユーザーを見つけ、ステップ 4 で作成したポリシーを RAM ユーザーに割り当てます。詳細については、「RAM ユーザーに権限を付与する」をご参照ください。

6. 手順 2 で作成したロールの名前をコピーして、開発者に通知します。

開発者の手順

表示される承認パネルに、管理者から提供されたロール名を入力します。この例では、ロール名として AliyunLogicComposerDefaultRole を使用します。

RAM ユーザーに RAM の読み取り専用権限がある場合

管理者の手順

RAM コンソールにログオンします。
RAM コンソールの [ロール] ページで、ロールを表示できます。 RAM ロールを作成していない場合は、最初に RAM ロールを作成します。詳細については、「信頼できる Alibaba Cloud サービスの RAM ロールを作成する」をご参照ください。注: 信頼できるサービスを Logic Composer に設定する必要があります。必要に応じてロール名を設定できます。この例では、ロール名として AliyunLogicComposerDefaultRole を使用します。
手順 2 で作成した RAM ロールに権限を付与します。開発者と事前に連絡を取り、ワークフローに必要な権限を確認できます。詳細については、「RAM ロールに権限を付与する」をご参照ください。

開発者の手順

RAM ユーザーは、ワークフローの承認パネルで、手順 2 で作成されたロールを選択します。この例では、ロール名として AliyunLogicComposerDefaultRole を使用します。注: RAM の読み取り専用権限を持つ RAM ユーザーは、権限を付与できません。代わりに、必要な権限を持つ RAM ユーザーまたは Alibaba Cloud アカウントのみが権限を付与できます。

RAM ユーザーに RAM の読み取り/書き込み権限がある場合

管理者の手順

操作を実行する必要はありません。

開発者の手順

ワークフローの承認パネルで、手順に従って権限を付与します。