RAM ユーザーへのカスタムポリシーのアタッチ - Container Registry

このトピックでは、Container Registry Enterprise Edition インスタンスの特定名前空間に対する読み取り/書き込み権限を付与するカスタムポリシーを作成する方法について説明します。

カスタムポリシーの作成

次のポリシーコンテンツをエディターにコピーし、プレースホルダーの instanceid と namespace を実際の値に置き換えます。
追加の権限を付与するには、サポートされている Action および Resource フォーマットについて、「Container Registry の認証ルール」をご参照ください。ポリシー構文の詳細については、「ポリシーの構造と構文」をご参照ください。

説明
アスタリスク (*) はワイルドカードとして機能します。たとえば、cr:ListInstance* は `cr:ListInstance` で始まるすべての操作を許可します。 acs:cr:*:*:repository/$instanceid/$namespace/* を acs:cr:*:*:repository/cri-123456/ns/* に設定した場合、このポリシーはすべてのリージョンにおいて、インスタンス `cri-123456` 内の `ns` 名前空間に対するすべての権限を付与します。
```
{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cr:ListInstance*",
        "cr:GetInstance*",
        "cr:ListSignature*"
      ],
      "Resource": "*"
    },
    {
      "Action": [
        "cr:*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cr:*:*:repository/$instanceid/$namespace/*",
        "acs:cr:*:*:repository/$instanceid/$namespace"
      ]
    },
    {
      "Action": [
        "cr:List*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cr:*:*:repository/$instanceid/*",
        "acs:cr:*:*:repository/$instanceid/*/*"
      ]
    }
  ],
  "Version": "1"
}
```
OK をクリックします。ポリシーの作成 ダイアログボックスで、ポリシー名 と [説明] を入力します。

カスタムポリシーのアタッチ

RAM 管理者として RAM コンソールにログインします。
左側のナビゲーションウィンドウで、[アイデンティティ] > [ユーザー]を選択します。
[ユーザー] ページで、目的の RAM ユーザーを見つけ、[権限の追加] を [操作] 列でクリックします。

また、複数の RAM ユーザーを選択し、ページ下部の[権限の追加]をクリックして、RAM ユーザーに一括で権限を付与することもできます。
[権限付与] パネルで、RAM ユーザーに権限を付与します。
1. [リソーススコープ] パラメーターを設定します。
  - アカウント: 権限付与は現在の Alibaba Cloud アカウントで有効になります。
  - リソースグループ：権限付与は、特定のリソースグループに適用されます。
    
    重要
    リソース範囲パラメーターとしてリソースグループを選択する場合は、対象のクラウドサービスがリソースグループをサポートしていることを確認してください。詳細については、「リソースグループと連携するサービス」をご参照ください。リソースグループで権限を付与する方法の詳細については、「リソースグループを使用した ECS アクセスの管理」をご参照ください。
2. プリンシパルパラメーターを設定します。
  
  プリンシパルは、権限を付与する RAM ユーザーです。現在の RAM ユーザーが自動的に選択されます。
3. ポリシーパラメーターを設定します。
  
  ポリシーには一連の権限が含まれています。ポリシーは、システムポリシーとカスタムポリシーに分類できます。一度に複数のポリシーを選択できます。
  - システムポリシー：Alibaba Cloud によって作成されるポリシーです。これらのポリシーは使用できますが、変更はできません。ポリシーのバージョン更新は Alibaba Cloud によって維持されます。詳細については、「RAM と連携するサービス」をご参照ください。
    
    説明
    システムは、`AdministratorAccess` や `AliyunRAMFullAccess` などの高リスクのシステムポリシーを自動的に識別します。高リスクポリシーをアタッチして不要な権限を付与しないことを推奨します。
  - カスタムポリシー：ビジネス要件に基づいてカスタムポリシーを管理および更新できます。カスタムポリシーの作成、更新、削除が可能です。詳細については、「カスタムポリシーの作成」をご参照ください。
4. [OK] をクリックします。
[閉じる] をクリックします。

説明

Container Registry コンソールにログインすると、RAM ユーザーは権限を付与された名前空間でイメージのビルド、プッシュ、プルを実行できます。