ApsaraMQ for Kafka:リソースグループによるきめ細かなアクセス制御

仕組み

リソースグループは、プロジェクトや環境ごとにリソースを整理します。リソースをグループ化したら、そのグループにのみ権限を限定する RAM ポリシーをアイデンティティ (RAM ユーザー、ユーザーグループ、ロールなど) にアタッチできます。詳細については、「リソースのグループ化と権限付与」をご参照ください。

このアプローチには、主に 2 つのメリットがあります。

• きめ細かなアクセス制御：アカウント全体の権限を付与する代わりに、アイデンティティのアクセスを特定のグループ内のリソースのみに制限できます。これにより、プロジェクト固有のワークロードを分離し、意図しないアクセスのリスクを軽減できます。

• 管理の簡素化：新しいリソースがリソースグループに追加されると、そのグループに限定された権限を持つ RAM アイデンティティは自動的にアクセスできます。新しいリソースが作成されるたびに RAM ポリシーを更新する必要はありません。

RAM ユーザーへのリソースグループレベルの権限付与

このセクションでは、特定のリソースグループ内のApsaraMQ for Kafkaリソースにのみアクセス権限を RAM ユーザーに付与する方法について説明します。

サポート対象リソース

以下のApsaraMQ for Kafkaリソースは、リソースグループレベルの権限付与をサポートしています。

サポート対象外アクション

以下のApsaraMQ for Kafkaアクションは、リソースグループレベルの権限付与をサポートしていません。

上記のアクションについては、 [Resource Scope] を [Account] に設定し、カスタムポリシーを作成する必要があります。

以下のポリシー例は、必要に応じてカスタマイズ可能です。

• 読み取り専用アクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "alikafka:CheckCreateSlr",
          "alikafka:GetBrokerIdListFromSls",
          "alikafka:GetConsumerList",
          "alikafka:GetInstanceList",
          "alikafka:GetInstancesLeaderElectionOverviewListInPage",
          "alikafka:GetLeaderElectionOverviewOrderByCostListInPage",
          "alikafka:GetMakeFollowerProcess",
          "alikafka:GetMakeLeaderProcess",
          "alikafka:GetMeta",
          "alikafka:GetPromotionList",
          "alikafka:GetRegionErrorLeaderElectionOverviewListInPage",
          "alikafka:GetRegionLeaderElectionOverview",
          "alikafka:GetTopicList",
          "alikafka:GetTransactionTopicListInPage",
          "alikafka:ListInstanceGetNoDeployedInstanceList",
          "alikafka:ListInstanceId",
          "alikafka:ListLeaderElectionResult",
          "alikafka:ListLogProject",
          "alikafka:ListLogStore",
          "alikafka:ListRegions",
          "alikafka:ListReportAnalyseClientConsumerPower",
          "alikafka:ListReportAnalyseFetchLog",
          "alikafka:ListReportAnalyseGroup",
          "alikafka:ListReportAnalyseMessageStoreBrokerTime",
          "alikafka:ListReportAnalyseSubscribeRelationship",
          "alikafka:ListReportAnalyseTopic",
          "alikafka:QueryContact",
          "alikafka:QueryMigrationRecord",
          "alikafka:QueryQuota"
        ],
        "Resource": "*"
      }
    ]
  }
  

• フルアクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "alikafka:AddQuota",
          "alikafka:CheckCreateSlr",
          "alikafka:ConsoleClearPretendStatus",
          "alikafka:ConsoleKafkaConnectorCheckKafkaConnectorStatus",
          "alikafka:ConsoleKafkaConnectorOpenKafkaConnector",
          "alikafka:ConsoleSavePretendStatus",
          "alikafka:ConsoleSearchPretendUser",
          "alikafka:ConvertPostPayOrder",
          "alikafka:CreateDefaultSlrRole",
          "alikafka:CreateETLTask",
          "alikafka:CreateInstance",
          "alikafka:CreateInstanceMetadataMigration",
          "alikafka:DeleteConsumerGroup",
          "alikafka:DeleteContact",
          "alikafka:DeleteInstance",
          "alikafka:DiagnoseTimeoutTransaction",
          "alikafka:EvaluateInstance",
          "alikafka:GetBrokerIdListFromSls",
          "alikafka:GetConsumerList",
          "alikafka:GetInstanceList",
          "alikafka:GetInstancesLeaderElectionOverviewListInPage",
          "alikafka:GetLeaderElectionOverviewOrderByCostListInPage",
          "alikafka:GetMakeFollowerProcess",
          "alikafka:GetMakeLeaderProcess",
          "alikafka:GetMeta",
          "alikafka:GetPromotionList",
          "alikafka:GetRegionErrorLeaderElectionOverviewListInPage",
          "alikafka:GetRegionLeaderElectionOverview",
          "alikafka:GetTopicList",
          "alikafka:GetTransactionTopicListInPage",
          "alikafka:HandleHangingTransaction",
          "alikafka:ListInstanceGetNoDeployedInstanceList",
          "alikafka:ListInstanceId",
          "alikafka:ListLeaderElectionResult",
          "alikafka:ListLogProject",
          "alikafka:ListLogStore",
          "alikafka:ListRegions",
          "alikafka:ListReportAnalyseClientConsumerPower",
          "alikafka:ListReportAnalyseFetchLog",
          "alikafka:ListReportAnalyseGroup",
          "alikafka:ListReportAnalyseMessageStoreBrokerTime",
          "alikafka:ListReportAnalyseSubscribeRelationship",
          "alikafka:ListReportAnalyseTopic",
          "alikafka:QueryContact",
          "alikafka:QueryMigrationRecord",
          "alikafka:QueryQuota",
          "alikafka:RegionalRollbackAddOrUpdateTopics",
          "alikafka:SpCorrect",
          "alikafka:SpCorrectPartition",
          "alikafka:UpdateContact",
          "alikafka:UpdateDeploymentRemark"
        ],
        "Resource": "*"
      }
    ]
  }
  

よくある質問