File Storage NAS:RAMポリシーに基づいてアクセス制御を実行する

手順

1. RAM ユーザーを作成します。 詳細については、「RAM ユーザーの作成」をご参照ください。

2. RAMユーザーに付与する権限ポリシーを選択します。

   権限ポリシーには、システムポリシーとカスタムポリシーがあります。

   • システムポリシー: Alibaba Cloudが提供するデフォルトの権限ポリシー。 Apsara File Storage NASでは、次のシステムポリシーが一般的に使用されます。

     • AliyunNASFullAccess (推奨なし): RAMユーザーにNASファイルシステムへのフルアクセスを許可します。 NASファイルシステムのセキュリティを確保するために、RAMユーザーにこの権限を付与しないことを推奨します。

     • AliyunNASReadOnlyAccess: RAMユーザーにNASファイルシステムへの読み取り専用アクセスを許可します。

   • カスタムポリシー: カスタマイズされた権限ポリシー。 カスタムポリシーを使用すると、よりきめ細かい柔軟な方法で権限を管理できます。

     ビジネス要件に基づいてスクリプトを記述することで、カスタムポリシーを作成できます。 以下の実施例は参照のために提供される。 詳細については、「カスタムポリシーの作成」をご参照ください。

3. RAMユーザーに権限を付与します。

   手順2で選択した権限ポリシーをRAMユーザーにアタッチします。 詳細については、「RAMユーザーへの権限付与」をご参照ください。

例1: RAMユーザーにNASファイルシステムの権限を付与する

RAMユーザーにNASファイルシステムへのフルアクセスを許可する

07d **** 294ファイルシステムのIDです。 IDを実際の値に置き換えます。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "nas:*",
            "Resource": [
                  "acs:nas:*:*:filesystem/07d****294"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "nas:CreateMountTarget",
            "Resource": "acs:vpc:*:*:vswitch/*"
        },
        {
            "Effect": "Allow",
            "Action": "cms:Query*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "nas:DescribeFileSystems",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "nas:DescribeAccessGroups",
                "nas:DescribeAccessRules"
            ],
            "Resource": "acs:nas:*:*:accessgroup/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches"
            ],
            "Resource": "*"
        }
    ]
}

RAMユーザーにNASファイルシステムを変更する権限を付与する

07d **** 294ファイルシステムのIDです。 IDを実際の値に置き換えます。

{
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "nas:DescribeFileSystems",
            "nas:ModifyFileSystem"
        ],
        "Resource": "acs:nas:*:*:filesystem/07d****294"
    }],
    "Version": "1"
}

RAMユーザーにすべてのNASファイルシステムを表示する権限を付与する

{
    "Statement": [{
        "Effect": "Allow",
        "Action": "nas:DescribeFileSystems",
        "Resource": "*"
    }],
    "Version": "1"
}

例2: NASファイルシステムのマウントターゲットに対する権限をRAMユーザーに付与する

{
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "nas:CreateMountTarget",
            "nas:DescribeMountTargets",
            "nas:ModifyMountTarget",
            "nas:DeleteMountTarget"
        ],
        "Resource": [
            "acs:nas:*:*:filesystem/07d****294",
            "acs:vpc:*:*:vswitch/*"
        ]
    }],
    "Version": "1"
}

例3: NASファイルシステムの権限グループに対する権限をRAMユーザーに付与する

{
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "nas:CreateAccessGroup",
            "nas:DescribeAccessGroups",
            "nas:ModifyAccessGroup",
            "nas:DeleteAccessGroup",
            "nas:CreateAccessRule",
            "nas:DescribeAccessRules",
            "nas:ModifyAccessRule",
            "nas:DeleteAccessRule"
        ],
        "Resource": "acs:nas:*:*:accessgroup/*"
    }],
    "Version": "1"
}

例4: すべてのNASファイルシステムのモニタリングメトリックを表示する権限をRAMユーザーに付与する

{
    "Statement": [{
        "Effect": "Allow",
        "Action": "cms:Query*",
        "Resource": "*"
    }],
    "Version": "1"
}

例5: NASファイルシステムのごみ箱を管理する権限をRAMユーザーに付与する

RAMユーザーにNASファイルシステムのごみ箱へのフルアクセスを許可する

07d **** 294ファイルシステムのIDです。 IDを実際の値に置き換えます。

{
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "nas:EnableRecycleBin",
                "nas:DisableAndCleanRecycleBin ",
                "nas:UpdateRecycleBinAttribute",
                "nas:GetRecycleBinAttribute",
                "nas:CreateRecycleBinRestoreJob",
                "nas:CreateRecycleBinDeleteJob",
                "nas:CancelRecycleBinJob",
                "nas:ListRecycleBinJobs",
                "nas:ListRecycledDirectoriesAndFiles",
                "nas:ListRecentlyRecycledDirectories"
            ],
            "Resource": [
                "acs:nas:*:*:filesystem/07d****294"
            ]
        }
    ],
    "Version": "1"
}

NASファイルシステムのごみ箱に一時的に保存されたファイルを復元する権限をRAMユーザーに付与する

07d **** 294ファイルシステムのIDです。 IDを実際の値に置き換えます。

{
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "nas:GetRecycleBinAttribute",
                "nas:CreateRecycleBinRestoreJob",
                "nas:CancelRecycleBinJob",
                "nas:ListRecycleBinJobs",
                "nas:ListRecycledDirectoriesAndFiles",
                "nas:ListRecentlyRecycledDirectories"
            ],
            "Resource": [
                "acs:nas:*:*:filesystem/07d****294"
            ]
        }
    ],
    "Version": "1"
}

NASファイルシステムのごみ箱からファイルを完全に削除する権限をRAMユーザーに付与する

07d **** 294ファイルシステムのIDです。 IDを実際の値に置き換えます。

{
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "nas:GetRecycleBinAttribute",
                "nas:CreateRecycleBinDeleteJob",
                "nas:CancelRecycleBinJob",
                "nas:ListRecycleBinJobs",
                "nas:ListRecycledDirectoriesAndFiles",
                "nas:ListRecentlyRecycledDirectories"
            ],
            "Resource": [
                "acs:nas:*:*:filesystem/07d****294"
            ]
        }
    ],
    "Version": "1"
}

NASファイルシステムのごみ箱の設定を変更する権限をRAMユーザーに付与する

07d **** 294ファイルシステムのIDです。 IDを実際の値に置き換えます。

{
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "nas:EnableRecycleBin",
                "nas:UpdateRecycleBinAttribute",
                "nas:DisableAndCleanRecycleBin",
                "nas:GetRecycleBinAttribute"
            ],
            "Resource": [
                "acs:nas:*:*:filesystem/07d****294"
            ]
        }
    ],
    "Version": "1"
}

付録: カスタムポリシー

よくある質問

• クラシックネットワークでマウントターゲットを作成するときに、RAMを使用して必要な権限を付与する必要があるのはなぜですか?

• AccessKeyペアを取得するにはどうすればよいですか?