ApsaraMQ for MQTT:ApsaraMQ for MQTT の RAM ポリシー

インスタンスアクセスの前提条件

トピック、グループ、またはルールに対する権限を付与する前に、まず親インスタンスに対して mq:MqttInstanceAccess アクションを付与する必要があります。インスタンスレベルのアクセス権がないと、RAM ユーザーはそのインスタンス内のリソースに到達できません。

この前提条件は、コンソール操作、API 呼び出し、クライアントのパブリッシュ/サブスクライブなど、すべての権限カテゴリに適用されます。

システムポリシー (クイックセレクション)

ほとんどのユースケースでは、以下のいずれかの事前定義されたシステムポリシーを Resource Access Management (RAM) ユーザーにアタッチします。設定は不要で、アタッチしてすぐに使用できます。

追加のコンソール権限

システムポリシーには、ApsaraMQ for MQTT コンソールのすべてのエリアにアクセスするために必要なすべての権限が含まれているわけではありません。必要に応じて、以下の権限を別途付与してください。

MQTT のみの権限付与

上記のシステムポリシーは ApsaraMQ for RocketMQ も対象としています。ApsaraMQ for MQTT リソースへのアクセスのみを許可するには、代わりにカスタムポリシーを使用します。MQTT のみのアクセスに対するカスタムポリシーには、通常、以下が含まれます。

• ターゲットインスタンスに対する mq:MqttInstanceAccess (リソースレベルの権限を付与する前に必須)

• 必要に応じて、特定のトピックまたはグループにスコープ指定された mq:PUB または mq:SUB

クライアントのパブリッシュおよびサブスクライブのアクション

これらのアクションは、ApsaraMQ for MQTT SDK を介したメッセージのパブリッシュとサブスクライブを制御します。

リソースの命名規則：

• トピック： acs:mq:*:*:topic/{mqttInstanceId}/{topic}

• グループ ID： acs:mq:*:*:groupId/{mqttInstanceId}/{gid}

クライアントのパブリッシュおよびサブスクライブ権限は、Alibaba Cloud アカウント間では付与できません。

インスタンス管理のアクション

リソースの命名規則： acs:mq:*:*:instance/{mqttInstanceId}

mq:MqttMetaData を付与した後、RAM ユーザーがコンソールでインスタンスリストを表示できるように、mq:ListMqttInstance も付与してください。

トピック管理のアクション

リソースの命名規則： acs:mq:*:*:topic/{mqttInstanceId}/{topic}

グループ管理のアクション

リソースの命名規則： acs:mq:*:*:groupId/{mqttInstanceId}/{gid}

ルール管理のアクション

リソースの命名規則： acs:mq:*:*:rule/{mqttInstanceId}/{ruleId}

ルールの権限を付与する際は、関連するインスタンス、トピック、グループがすべて同じ Alibaba Cloud アカウントに属していることを確認してください。

トークン管理

メッセージ操作

グループ操作

すべてのグループ API 操作では、以下のリソース命名規則を使用します。

• インスタンス： acs:mq:*:*:instance/{mqttInstanceId}

• グループ： acs:mq:*:*:groupId/{mqttInstanceId}/{gid}

デバイス認証情報操作

メッセージトレース操作

カスタム認証操作

トピック操作

すべてのトピック API 操作では、以下のリソース命名規則を使用します。

• インスタンス： acs:mq:*:*:instance/{mqttInstanceId}

• トピック： acs:mq:*:*:topic/{mqttInstanceId}/{topic}

ルール操作

すべてのルール API 操作では、以下のリソース命名規則を使用します。

• インスタンス： acs:mq:*:*:instance/{mqttInstanceId}

• ルール： acs:mq:*:*:rule/{mqttInstanceId}/{ruleId}

ディザスタリカバリ操作

完全な API リファレンスについては、「機能別の操作リスト」をご参照ください。