ApsaraDB for MongoDB:ApsaraDB for MongoDB の RAM ユーザーへの権限付与方法

RAM ユーザーへの権限付与

1. RAM 管理者として RAM コンソール にログインします。

2. 左側のナビゲーションウィンドウで、ID > ユーザー を選択します。

3. ユーザー ページで、対象の RAM ユーザーを見つけ、操作 列の 権限の追加 をクリックします。> ヒント： 複数の RAM ユーザーに一度に権限を付与する場合は、RAM ユーザーを選択し、ページ下部の 権限の追加 をクリックします。

4. 権限付与 パネルで、以下のパラメーターを設定します。

   重要

   [リソーススコープ] に [リソースグループ] を選択した場合、ApsaraDB for MongoDB がリソースグループをサポートしていることを確認してください。 詳細については、「リソースグループと連携するサービス」をご参照ください。 リソースグループで権限を付与する方法の詳細については、「リソースグループを使用して、特定の ECS インスタンスを管理する権限を RAM ユーザーに付与する」をご参照ください。

   説明 システムは、AdministratorAccess や AliyunRAMFullAccess などの高リスクのシステムポリシーを自動的に識別します。絶対に必要な場合を除き、高リスクポリシーのアタッチは避けてください。

   パラメーター	説明
   リソーススコープ	アカウント：ポリシーは現在の Alibaba Cloud アカウント全体に適用されます。リソースグループ：ポリシーは特定のリソースグループに適用されます。
   プリンシパル	権限を付与する RAM ユーザーです。デフォルトで現在の RAM ユーザーが選択されています。
   ポリシー	アタッチするポリシーです。1 つ以上のシステムポリシーまたはカスタムポリシーを選択します。

5. 権限付与 をクリックします。

6. 閉じる をクリックします。

システムポリシー

ApsaraDB for MongoDB には、以下の 2 つのシステムポリシーが用意されています。

インスタンスを管理する管理者には AliyunMongoDBFullAccess を、インスタンス情報、モニタリングデータ、バックアップステータスのみを閲覧する必要があるユーザーには AliyunMongoDBReadOnlyAccess を使用してください。

カスタムポリシー

カスタムポリシーを使用すると、特定の API 操作およびインスタンスに対して詳細なアクセス制御を実現できます。構文の詳細については、「ポリシーの構造と構文」をご参照ください。

acs:dds:$regionid:$accountid:dbinstance/$dbinstanceid

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dds:DescribeDBInstances",
        "dds:DescribeDBInstanceAttribute",
        "dds:DescribeDBInstancePerformance",
        "dds:DescribeReplicaSetRole",
        "dds:DescribeSecurityIps",
        "dds:DescribeAccounts",
        "dds:DescribeBackupPolicy"
      ],
      "Resource": "acs:dds:cn-hangzhou:1234567890:dbinstance/dds-bp1234567890"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dds:DescribeBackupPolicy",
        "dds:ModifyBackupPolicy",
        "dds:CreateBackup",
        "dds:RestoreDBInstance",
        "dds:DescribeDBInstances"
      ],
      "Resource": "acs:dds:*:*:dbinstance/*"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "dds:*",
      "Resource": "acs:dds:cn-hangzhou:*:dbinstance/*"
    }
  ]
}

基本概念

ベストプラクティス

• システムポリシーから開始してください。 ほとんどのシナリオでは、AliyunMongoDBFullAccess または AliyunMongoDBReadOnlyAccess を使用します。より詳細な制御が必要な場合にのみ、カスタムポリシーを作成してください。

• 最小権限の原則を適用してください。 RAM ユーザーに必要な最小限の権限のみを付与します。たとえば、モニタリングユーザーには Describe* 操作のみが必要であり、Modify* や Delete* 操作は不要です。

• インスタンス単位でリソースを制限してください。 ワイルドカード (*) を使用してすべてのインスタンスへのアクセスを許可するのではなく、リソース記述形式を使用して特定のインスタンスに権限を限定してください。

• 役割を分離してください。 役割に基づいて異なる RAM ユーザーに異なるカスタムポリシーを割り当てます。たとえば、バックアップオペレーターとインスタンス管理者を分離します。

• 権限を定期的に見直してください。 RAM ユーザーの権限を定期的に監査し、不要になった権限は取り消してください。

• 高リスクポリシーは避けてください。 RAM ユーザーが Alibaba Cloud サービス全体にわたる広範なアクセスを必要とする場合を除き、AdministratorAccess や AliyunRAMFullAccess をアタッチしないでください。

参考

• RAM ユーザーの作成

• カスタムポリシーを作成する

• ポリシーの構造と構文

• RAM と連携するサービス

• Resource Group と連携するサービス