Container Registry:リソースグループによるきめ細かなアクセス制御

仕組み

リソースグループは、プロジェクトや環境ごとにリソースを整理します。リソースをグループ化したら、そのグループにのみ権限を限定する RAM ポリシーをアイデンティティ (RAM ユーザー、ユーザーグループ、ロールなど) にアタッチできます。詳細については、「リソースのグループ化と権限付与」をご参照ください。

このアプローチには、主に 2 つのメリットがあります。

• きめ細かなアクセス制御：アカウント全体の権限を付与する代わりに、アイデンティティのアクセスを特定のグループ内のリソースのみに制限できます。これにより、プロジェクト固有のワークロードを分離し、意図しないアクセスのリスクを軽減できます。

• 管理の簡素化：新しいリソースがリソースグループに追加されると、そのグループに限定された権限を持つ RAM アイデンティティは自動的にアクセスできます。新しいリソースが作成されるたびに RAM ポリシーを更新する必要はありません。

RAM ユーザーへのリソースグループレベルの権限付与

このセクションでは、特定のリソースグループ内のContainer Registryリソースにのみアクセス権限を RAM ユーザーに付与する方法について説明します。

サポート対象リソース

以下のContainer Registryリソースは、リソースグループレベルの権限付与をサポートしています。

サポート対象外アクション

以下のContainer Registryアクションは、リソースグループレベルの権限付与をサポートしていません。

上記のアクションについては、 [Resource Scope] を [Account] に設定し、カスタムポリシーを作成する必要があります。

以下のポリシー例は、必要に応じてカスタマイズ可能です。

• 読み取り専用アクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cr:GetAccessVpcLink",
          "cr:GetClusterImageAnalysisTask",
          "cr:GetDiagnosisTask",
          "cr:GetImageWorkloadAnalysisTask",
          "cr:GetInstanceFlowControlRule",
          "cr:GetInstanceHideAuthDomainStatus",
          "cr:GetInstanceMigrateRule",
          "cr:GetInstanceUser",
          "cr:GetMetadataNamespace",
          "cr:GetMetadataNote",
          "cr:GetMetadataOccurrence",
          "cr:GetRecycleBinConfig",
          "cr:GetRepoTagManifest",
          "cr:GetRepositoryTag",
          "cr:GetResourceQuota",
          "cr:GetScanRule",
          "cr:GetServiceAuthorization",
          "cr:GetSignatureRule",
          "cr:GetStorageDomainRoutingRule",
          "cr:GetSyncCustomLink",
          "cr:GetUserInfo",
          "cr:GetWebHook",
          "cr:ListArtifactBuildDiagnosisResult",
          "cr:ListArtifactBuildPhaseStatus",
          "cr:ListArtifactBuildRule",
          "cr:ListArtifactComponents",
          "cr:ListArtifacts",
          "cr:ListChartNamespace",
          "cr:ListChartRepository",
          "cr:ListCloudProductAuth",
          "cr:ListDiagnosisTask",
          "cr:ListInstanceFlowControlRule",
          "cr:ListInstanceUser",
          "cr:ListMetadataNotes",
          "cr:ListMetadataOccurrences",
          "cr:ListUserBucket",
          "cr:ListUserVpc"
        ],
        "Resource": "*"
      }
    ]
  }
  

• フルアクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cr:CancelArtifactDeleteTagTask",
          "cr:CancelArtifactSubscriptionTask",
          "cr:CancelDiagnosisTask",
          "cr:CancelRepoSyncTask",
          "cr:CreateArtifactBuildDiagnosisTask",
          "cr:CreateArtifactBuildPhaseStatusTask",
          "cr:CreateCloudProductAuth",
          "cr:CreateClusterImageAnalysisTask",
          "cr:CreateImageWorkloadAnalysisTask",
          "cr:CreateInstanceFlowControlRule",
          "cr:CreateMetadataNamespace",
          "cr:CreateMetadataNote",
          "cr:CreateMetadataOccurrence",
          "cr:CreateStorageDomainRoutingRule",
          "cr:CreateUserInfo",
          "cr:DeleteCloudProductAuth",
          "cr:DeleteExemptVul",
          "cr:DeleteInstance",
          "cr:DeleteInstanceFlowControlRule",
          "cr:DeleteInstanceMigrateRule",
          "cr:DeleteStorageDomainRoutingRule",
          "cr:DeleteSyncCustomLink",
          "cr:DisableInstanceHideAuthDomain",
          "cr:EnableInstanceHideAuthDomain",
          "cr:EnableRecycleBin",
          "cr:GetAccessVpcLink",
          "cr:GetClusterImageAnalysisTask",
          "cr:GetDiagnosisTask",
          "cr:GetImageWorkloadAnalysisTask",
          "cr:GetInstanceFlowControlRule",
          "cr:GetInstanceHideAuthDomainStatus",
          "cr:GetInstanceMigrateRule",
          "cr:GetInstanceUser",
          "cr:GetMetadataNamespace",
          "cr:GetMetadataNote",
          "cr:GetMetadataOccurrence",
          "cr:GetRecycleBinConfig",
          "cr:GetRepoTagManifest",
          "cr:GetRepositoryTag",
          "cr:GetResourceQuota",
          "cr:GetScanRule",
          "cr:GetServiceAuthorization",
          "cr:GetSignatureRule",
          "cr:GetStorageDomainRoutingRule",
          "cr:GetSyncCustomLink",
          "cr:GetUserInfo",
          "cr:GetWebHook",
          "cr:ListArtifactBuildDiagnosisResult",
          "cr:ListArtifactBuildPhaseStatus",
          "cr:ListArtifactBuildRule",
          "cr:ListArtifactComponents",
          "cr:ListArtifacts",
          "cr:ListChartNamespace",
          "cr:ListChartRepository",
          "cr:ListCloudProductAuth",
          "cr:ListDiagnosisTask",
          "cr:ListInstanceFlowControlRule",
          "cr:ListInstanceUser",
          "cr:ListMetadataNotes",
          "cr:ListMetadataOccurrences",
          "cr:ListUserBucket",
          "cr:ListUserVpc",
          "cr:RevokeInstanceUserLoginPassword",
          "cr:StopChainInstance",
          "cr:UpdateArtifactBuildRule",
          "cr:UpdateExemptVul",
          "cr:UpdateMetadataNote",
          "cr:UpdateMetadataOccurrence",
          "cr:UpdateStorageDomainRoutingRule",
          "cr:UpdateSyncCustomLink",
          "cr:UpdateSyncRule",
          "cr:UpdateUserInfo"
        ],
        "Resource": "*"
      }
    ]
  }
  

よくある質問