Container Service for Kubernetes:リソースグループによるきめ細かなアクセス制御

仕組み

リソースグループは、プロジェクトや環境ごとにリソースを整理します。リソースをグループ化したら、そのグループにのみ権限を限定する RAM ポリシーをアイデンティティ (RAM ユーザー、ユーザーグループ、ロールなど) にアタッチできます。詳細については、「リソースのグループ化と権限付与」をご参照ください。

このアプローチには、主に 2 つのメリットがあります。

• きめ細かなアクセス制御：アカウント全体の権限を付与する代わりに、アイデンティティのアクセスを特定のグループ内のリソースのみに制限できます。これにより、プロジェクト固有のワークロードを分離し、意図しないアクセスのリスクを軽減できます。

• 管理の簡素化：新しいリソースがリソースグループに追加されると、そのグループに限定された権限を持つ RAM アイデンティティは自動的にアクセスできます。新しいリソースが作成されるたびに RAM ポリシーを更新する必要はありません。

RAM ユーザーへのリソースグループレベルの権限付与

このセクションでは、特定のリソースグループ内のContainer Service for Kubernetes (ACK)リソースにのみアクセス権限を RAM ユーザーに付与する方法について説明します。

サポート対象リソース

以下のContainer Service for Kubernetes (ACK)リソースは、リソースグループレベルの権限付与をサポートしています。

サポート対象外アクション

以下のContainer Service for Kubernetes (ACK)アクションは、リソースグループレベルの権限付与をサポートしていません。

上記のアクションについては、 [Resource Scope] を [Account] に設定し、カスタムポリシーを作成する必要があります。

以下のポリシー例は、必要に応じてカスタマイズ可能です。

• 読み取り専用アクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cs:DescribeClusterAddonVersions",
          "cs:DescribeClusters",
          "cs:DescribeClustersV1",
          "cs:DescribeEdgeMachineActiveProcess",
          "cs:DescribeEdgeMachineModels",
          "cs:DescribeEdgeMachineTunnelConfigDetail",
          "cs:DescribeEdgeMachines",
          "cs:DescribeEventsForRegion",
          "cs:DescribeImages",
          "cs:DescribeKubernetesTemplates",
          "cs:DescribeMetaClusterInnerKubeconfig",
          "cs:DescribeNodePoolNodePools",
          "cs:DescribeRegionImages",
          "cs:DescribeUserCapability",
          "cs:GetAIDiagnosisResult",
          "cs:GetAddonTemplateDifference",
          "cs:GetClusterBasicInfo",
          "cs:GetClusterCheckResult",
          "cs:GetClusterComponent",
          "cs:GetClusterReportSummary",
          "cs:GetClusterServices",
          "cs:GetDiagnosisCheckItem",
          "cs:GetServiceQuota",
          "cs:GetUserClusterResource",
          "cs:GetUserInstanceResource",
          "cs:ListClusterComponent",
          "cs:ListClusterImage",
          "cs:ListClusterReportSummary",
          "cs:ListDeprecatedAPI",
          "cs:ListDiagnosisResult",
          "cs:ListReportTaskRule",
          "cs:ListServiceQuotas",
          "cs:ListUsers",
          "cs:QueryUserClusterResource"
        ],
        "Resource": "*"
      }
    ]
  }
  

• フルアクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cs:CreateClusterOverviewReport",
          "cs:CreateClusterReport",
          "cs:CreateDiagnose",
          "cs:CreateEdgeMachine",
          "cs:CreateKubernetesTrigger",
          "cs:CreateQuickDiagnose",
          "cs:CreateReportTaskRule",
          "cs:CreateResourcesSystemTags",
          "cs:CreateSessionMessage",
          "cs:CreateTriggerHook",
          "cs:DeleteEdgeMachine",
          "cs:DeleteKubeConfigRecycleItem",
          "cs:DeleteKubernetesTrigger",
          "cs:DeleteReportTaskRule",
          "cs:DeployApplication",
          "cs:DescribeClusterAddonVersions",
          "cs:DescribeClusters",
          "cs:DescribeClustersV1",
          "cs:DescribeEdgeMachineActiveProcess",
          "cs:DescribeEdgeMachineModels",
          "cs:DescribeEdgeMachineTunnelConfigDetail",
          "cs:DescribeEdgeMachines",
          "cs:DescribeEventsForRegion",
          "cs:DescribeImages",
          "cs:DescribeKubernetesTemplates",
          "cs:DescribeMetaClusterInnerKubeconfig",
          "cs:DescribeNodePoolNodePools",
          "cs:DescribeRegionImages",
          "cs:DescribeUserCapability",
          "cs:EdgeClusterAddEdgeMachine",
          "cs:GetAIDiagnosisResult",
          "cs:GetAddonTemplateDifference",
          "cs:GetClusterBasicInfo",
          "cs:GetClusterCheckResult",
          "cs:GetClusterComponent",
          "cs:GetClusterReportSummary",
          "cs:GetClusterServices",
          "cs:GetDiagnosisCheckItem",
          "cs:GetServiceQuota",
          "cs:GetUserClusterResource",
          "cs:GetUserInstanceResource",
          "cs:ListClusterComponent",
          "cs:ListClusterImage",
          "cs:ListClusterReportSummary",
          "cs:ListDeprecatedAPI",
          "cs:ListDiagnosisResult",
          "cs:ListReportTaskRule",
          "cs:ListServiceQuotas",
          "cs:ListUsers",
          "cs:ModifyServiceQuota",
          "cs:OpenAckService",
          "cs:QueryUserClusterResource",
          "cs:RegisterUser",
          "cs:RestoreMultiKubeConfigRecycleItems",
          "cs:RevokeMetaClusterInnerKubeconfig",
          "cs:RevokeTriggerHook",
          "cs:TagResources",
          "cs:UnTagResources",
          "cs:UntagResources",
          "cs:UpdateCrossRegionCertForOps",
          "cs:UpdateCrossRegionCerts",
          "cs:UpdateCrossRegionPermissions",
          "cs:UpdateUserPermissions"
        ],
        "Resource": "*"
      }
    ]
  }
  

よくある質問