リソースへのアクセスを制御するためにタグを使用する

タグベースの認証をサポートするリソースタイプ

リソース管理コンソール にログオンします。[タグ] ページで、右上隅にある [タグ RAM サポート] をクリックします。表示されるページで、[タグ RAM サポート] 列を表示して、リソースタイプがタグベースの認証をサポートしているかどうかを確認します。

原則

次の図は、タグに基づいて RAM ユーザーの権限を制限するロジックを示しています。

Condition 要素を使用して、カスタムポリシーで承認済みタグを指定できます。次の表に、タグでサポートされている条件を示します。

手順

1. タグを作成し、リソースに追加します。

   リソース管理コンソールの [タグ] ページ、リソース管理コンソールの [リソース検索] または [クロスアカウントリソース検索] ページ、または他の Alibaba Cloud サービスのコンソールで、タグを作成してリソースに追加できます。[タグ] ページでタグを作成してリソースに追加する方法については、タグの作成 および タグの追加 をご参照ください。

2. カスタムポリシーを作成します。

   RAM コンソール でカスタムポリシーを作成し、ポリシーの Condition 要素でタグベースの認証の条件を設定します。詳細については、カスタムポリシーの作成 をご参照ください。

   たとえば、次のポリシーでは、owner:alice および environment:production というタグが付いている Elastic Compute Service (ECS) インスタンスでの管理操作が許可されます。

   {
   	"Effect": "Allow", // 許可
   	"Action": "ecs:*",  // ECSへのすべてのアクション
   	"Resource": "*",    // すべてのリソース
   	"Condition": {
   		"StringEquals": {
   			"acs:ResourceTag/owner": [
   				"alice"     // オーナーがalice
   			],
   			"acs:ResourceTag/environment": [
   				"production" // 環境がproduction
   			]
   		}
   	}
   }

3. RAM ユーザーを作成し、RAM ユーザーに権限を付与します。

   RAM コンソール で RAM ユーザーを作成し、カスタムポリシーを RAM ユーザーに追加します。詳細については、RAM ユーザーの作成 および RAM ユーザーへの権限の付与 をご参照ください。

ベストプラクティス