API Gateway:リソースグループによるきめ細かなアクセス制御

仕組み

リソースグループは、プロジェクトや環境ごとにリソースを整理します。リソースをグループ化したら、そのグループにのみ権限を限定する RAM ポリシーをアイデンティティ (RAM ユーザー、ユーザーグループ、ロールなど) にアタッチできます。詳細については、「リソースのグループ化と権限付与」をご参照ください。

このアプローチには、主に 2 つのメリットがあります。

• きめ細かなアクセス制御：アカウント全体の権限を付与する代わりに、アイデンティティのアクセスを特定のグループ内のリソースのみに制限できます。これにより、プロジェクト固有のワークロードを分離し、意図しないアクセスのリスクを軽減できます。

• 管理の簡素化：新しいリソースがリソースグループに追加されると、そのグループに限定された権限を持つ RAM アイデンティティは自動的にアクセスできます。新しいリソースが作成されるたびに RAM ポリシーを更新する必要はありません。

RAM ユーザーへのリソースグループレベルの権限付与

このセクションでは、特定のリソースグループ内のCloud-native API Gatewayリソースにのみアクセス権限を RAM ユーザーに付与する方法について説明します。

サポート対象リソース

以下のCloud-native API Gatewayリソースは、リソースグループレベルの権限付与をサポートしています。

サポート対象外アクション

以下のCloud-native API Gatewayアクションは、リソースグループレベルの権限付与をサポートしていません。

上記のアクションについては、 [Resource Scope] を [Account] に設定し、カスタムポリシーを作成する必要があります。

以下のポリシー例は、必要に応じてカスタマイズ可能です。

• 読み取り専用アクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "apig:CheckCommodityStatus",
          "apig:CheckRegularExpressions",
          "apig:ExportCodeFile",
          "apig:ExportWasmFile",
          "apig:GetAiGenerateTaskStatus",
          "apig:GetConsumer",
          "apig:GetConsumerAuthorizationRule",
          "apig:GetHttpApiAttachment",
          "apig:GetHttpApiInstanceByEnvId",
          "apig:GetMcpServer",
          "apig:GetMigrationNamespacedServices",
          "apig:GetMigrationTask",
          "apig:GetPluginAttachment",
          "apig:GetPluginClass",
          "apig:GetPluginWorkspace",
          "apig:GetPolicy",
          "apig:GetPolicyAttachment",
          "apig:GetResourceOverview",
          "apig:GetSecret",
          "apig:GetSecretValue",
          "apig:ListConsumerAuthorizationRules",
          "apig:ListConsumers",
          "apig:ListEvents",
          "apig:ListGatewayErrorAccessLogs",
          "apig:ListGatewayUpgradableVersions",
          "apig:ListGlobalPolicies",
          "apig:ListInstallableGateways",
          "apig:ListLocations",
          "apig:ListMcpServers",
          "apig:ListMigrationTasks",
          "apig:ListPluginAttachments",
          "apig:ListPluginClasses",
          "apig:ListPluginRepositories",
          "apig:ListPluginWorkspace",
          "apig:ListPlugins",
          "apig:ListPolicies",
          "apig:ListPolicyClasses",
          "apig:ListSecretReferences",
          "apig:ListSecrets",
          "apig:ListServiceQuotas",
          "apig:ListSourcesInner2",
          "apig:ListSslCerts",
          "apig:ListSyncMCPServer",
          "apig:ListSyncedMCPServer",
          "apig:ListZones",
          "apig:QueryConsumerAuthorizationRules",
          "apig:QueryTestClusterData",
          "apig:QueryTestDBData"
        ],
        "Resource": "*"
      }
    ]
  }
  

• フルアクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "apig:BatchDeleteConsumerAuthorizationRule",
          "apig:CancelAiGenerateTask",
          "apig:CheckCommodityStatus",
          "apig:CheckRegularExpressions",
          "apig:CreateAiGenerateWebIde",
          "apig:CreateAndAttachPolicy",
          "apig:CreateConsumer",
          "apig:CreateConsumerAuthorizationRule",
          "apig:CreateConsumerAuthorizationRules",
          "apig:CreateMcpServer",
          "apig:CreateMigrationTask",
          "apig:CreatePluginAttachment",
          "apig:CreatePluginClass",
          "apig:CreatePluginRepository",
          "apig:CreatePluginWorkspace",
          "apig:CreatePolicy",
          "apig:CreatePolicyAttachment",
          "apig:CreateSecret",
          "apig:CreateWebIde",
          "apig:DeleteConsumer",
          "apig:DeleteConsumerAuthorizationRule",
          "apig:DeleteMcpServer",
          "apig:DeleteMigrationTask",
          "apig:DeletePluginAttachment",
          "apig:DeletePluginClass",
          "apig:DeletePolicy",
          "apig:DeletePolicyAttachment",
          "apig:DeleteSecret",
          "apig:DeleteWebIde",
          "apig:DeployDomain",
          "apig:DeployMcpServer",
          "apig:DetachAndDeletePolicy",
          "apig:ExportCodeFile",
          "apig:ExportWasmFile",
          "apig:GetAiGenerateTaskStatus",
          "apig:GetConsumer",
          "apig:GetConsumerAuthorizationRule",
          "apig:GetHttpApiAttachment",
          "apig:GetHttpApiInstanceByEnvId",
          "apig:GetMcpServer",
          "apig:GetMigrationNamespacedServices",
          "apig:GetMigrationTask",
          "apig:GetPluginAttachment",
          "apig:GetPluginClass",
          "apig:GetPluginWorkspace",
          "apig:GetPolicy",
          "apig:GetPolicyAttachment",
          "apig:GetResourceOverview",
          "apig:GetSecret",
          "apig:GetSecretValue",
          "apig:InstallPlugin",
          "apig:InvokeAIAgent",
          "apig:ListConsumerAuthorizationRules",
          "apig:ListConsumers",
          "apig:ListEvents",
          "apig:ListGatewayErrorAccessLogs",
          "apig:ListGatewayUpgradableVersions",
          "apig:ListGlobalPolicies",
          "apig:ListInstallableGateways",
          "apig:ListLocations",
          "apig:ListMcpServers",
          "apig:ListMigrationTasks",
          "apig:ListPluginAttachments",
          "apig:ListPluginClasses",
          "apig:ListPluginRepositories",
          "apig:ListPluginWorkspace",
          "apig:ListPlugins",
          "apig:ListPolicies",
          "apig:ListPolicyClasses",
          "apig:ListSecretReferences",
          "apig:ListSecrets",
          "apig:ListServiceQuotas",
          "apig:ListSourcesInner2",
          "apig:ListSslCerts",
          "apig:ListSyncMCPServer",
          "apig:ListSyncedMCPServer",
          "apig:ListZones",
          "apig:MCPMessaging",
          "apig:MCPSSETransport",
          "apig:ModifyQuotaLimitValue",
          "apig:ModifyServiceQuota",
          "apig:QueryConsumerAuthorizationRules",
          "apig:QueryTestClusterData",
          "apig:QueryTestDBData",
          "apig:RefreshPluginOAuthCode",
          "apig:RemoveConsumerAuthorizationRule",
          "apig:RetryCreateGateway",
          "apig:RunPluginPipeline",
          "apig:SyncMCPServer",
          "apig:SyncMCPServers",
          "apig:UnDeployMcpServer",
          "apig:UninstallPlugin",
          "apig:UpdateAndAttachPolicy",
          "apig:UpdateAuthorizationRule",
          "apig:UpdateConsumer",
          "apig:UpdateConsumerAuthorizationRule",
          "apig:UpdateEnvironment",
          "apig:UpdateMcpServer",
          "apig:UpdateMigrationTask",
          "apig:UpdatePluginAttachment",
          "apig:UpdatePolicy",
          "apig:UpdateSecret",
          "apig:UpdateServiceVersion",
          "apig:UploadCodeFile",
          "apig:VerifyMigrationTask",
          "apig:test"
        ],
        "Resource": "*"
      }
    ]
  }
  

よくある質問