OpenSearch:RAM ユーザーの作成と権限の付与

ユースケース

次の 2 つのシナリオでは、RAM ユーザーを作成し、ビジネスオペレーションに必要な最小限の権限を付与する必要があります。

• RAM ユーザーが API/SDK 経由で検索開発コンソールサービスを呼び出す場合は、呼び出し元の ID 認証に AccessKey を使用します。

• RAM ユーザーが OpenSearch 経由で検索開発コンソールを使用する場合の一般的なシナリオは次のとおりです。

  • RAM ユーザーに API キーを管理する権限を付与します。

    重要

    OpenSearch 検索開発コンソールでは、API キーは独立したワークスペースに存在します。RAM ユーザーがワークスペースの API キーを取得し (API キーが有効になっている)、サービスを呼び出すコードで API キーを設定すると、ユーザーは個別の承認なしで API/SDK 経由でワークスペース下のすべてのサービスを呼び出すことができます。

  • RAM ユーザーに、エクスペリエンスセンター を介してドキュメントの解析やスライスなどのサービスを迅速に体験する権限を付与します。

  • RAM ユーザーに、評価タスク管理を介して RAG チェーンの有効性を評価する権限を付与します。

権限ポリシー

システム権限ポリシー

システム権限ポリシーは、Alibaba Cloud によって統一的に作成されます。ユーザーはそれらを使用することのみが可能で、変更することはできません。ポリシーのバージョン更新は Alibaba Cloud によって管理されます。OpenSearch 検索開発コンソールは、次の 2 つのシステム権限ポリシーを提供します。

• AliyunOpenSearchFullAccess: OpenSearch サービスを管理するための権限。この権限ポリシーには、権限ポイントリストのすべての権限が含まれています。この権限ポリシーは、RAM ユーザーに慎重に付与してください。

• AliyunOpenSearchReadOnlyAccess: OpenSearch サービスへの読み取り専用アクセスを許可します。このポリシーには、読み取り操作のためのすべてのコントロール API 権限 (List、Describe) と、権限ポイントリストに詳述されているトラフィック API 権限リスト内のすべての権限が含まれています。

カスタム権限ポリシー

きめ細かい権限管理を実現するために、カスタム権限ポリシーを作成します。

権限ポイントリスト

コントロール API 権限リスト

トラフィック API 権限リスト

手順

手順 1: RAM ユーザーの作成

RAM ユーザーは、固定の ID と認証情報を持つ物理的な ID です。RAM ユーザーは、個人またはアプリケーションを表します。RAM ユーザーには、次の特性があります。

• RAM ユーザーは、Alibaba Cloud アカウントによって作成できます。この場合、RAM ユーザーは Alibaba Cloud アカウントに属します。RAM ユーザーは、管理権限を持つ RAM ユーザーまたは RAM ロールによっても作成できます。この場合、RAM ユーザーは、RAM ユーザーまたは RAM ロールを作成した Alibaba Cloud アカウントに属します。

• RAM ユーザーはリソースを所有しません。RAM ユーザーのリソース使用料は、RAM ユーザーが属する Alibaba Cloud アカウントに請求されます。RAM ユーザーは個別の請求書を受け取らず、支払いを行うことはできません。

• RAM ユーザーが Alibaba Cloud 管理コンソールにログオンしたり、操作を呼び出したりするには、Alibaba Cloud アカウントによって承認される必要があります。RAM ユーザーが承認されると、RAM ユーザーは Alibaba Cloud アカウントが所有するリソースにアクセスできます。

• RAM ユーザーは、ログオン用の独立したパスワードまたは AccessKey ペアを持っています。

• 1 つの Alibaba Cloud アカウントで複数の RAM ユーザーを作成できます。RAM ユーザーは、企業内の従業員、システム、およびアプリケーションを表すために使用できます。

詳細については、RAM ユーザーの作成を参照してください。

手順 2: カスタム権限ポリシーの作成

一般的な最小権限の組み合わせ例を参照し、権限ポイントリストから権限ポイントを選択して、ビジネス最小権限ポリシーに組み合わせます。カスタム承認ポリシーの作成の詳細については、カスタム権限ポリシーの作成を参照してください。

手順 3: RAM ユーザーの承認

RAM ユーザーに RAM のシステムポリシーまたはカスタムポリシーを付与すると、RAM ユーザーはポリシー内の対応する権限で Alibaba Cloud リソースにアクセスできます。最小権限の原則に従い、RAM ユーザーに必要な権限を必要に応じて付与することをお勧めします。承認の詳細については、RAM ユーザーの承認を参照してください。

一般的な最小権限の組み合わせ例

例 1: RAM ユーザーがワークスペースリストの表示、残りの無料サービスクォータの表示、およびデフォルトスペースでのドキュメントスライスサービスの呼び出しを許可します。対応する承認ポリシーは次のとおりです。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "searchplat:ListWorkspaces",
            "Resource": "acs:searchplat:*:*:workspaces/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "searchplat:DescribeWorkspace",
                "searchplat:GetDocumentSplit",
                "searchplat:DescribeMeasure"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/default"
        }
    ]
}

例 2: RAM ユーザーがワークスペースリストの表示、残りの無料サービスクォータの表示、デフォルトスペースでの API キーの管理、およびドキュメントスライスサービスの呼び出しを許可します。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "searchplat:ListWorkspaces"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "searchplat:DescribeWorkspace",
                "searchplat:WriteCredentials",
                "searchplat:GetDocumentSplit",
                "searchplat:DescribeCredentials",
                "searchplat:DescribeMeasure"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/default"
        }
    ]
}