ApsaraMQ for RabbitMQ:ApsaraMQ for RabbitMQ カスタムポリシーのリファレンス

カスタムポリシーとは

Resource Access Management (RAM) ポリシーは、システムポリシーとカスタムポリシーに分類されます。カスタムポリシーを維持する必要があります。

• カスタムポリシーを作成した後、ポリシーで指定された権限をプリンシパルに付与できるように、RAM ユーザー、ユーザーグループ、または RAM ロールにアタッチする必要があります。

• プリンシパルにアタッチされていない RAM ポリシーは削除できます。RAM ポリシーがプリンシパルにアタッチされている場合は、RAM ポリシーを削除する前に、プリンシパルから RAM ポリシーをデタッチする必要があります。

• カスタムポリシーはバージョンコントロールをサポートしています。RAM が提供するバージョン管理メカニズムに基づいて、カスタムポリシーのバージョンを管理できます。

リファレンス

• カスタムポリシーの作成

• カスタムポリシーのドキュメントと説明の変更

• カスタムポリシーの削除

• ポリシーリファレンスの管理

• カスタムポリシーのバージョンの管理

カスタム権限付与ポリシー

ApsaraMQ for RabbitMQ は、次のカスタムポリシーをサポートしています。

カスタムポリシーの例

• 例 1: vhost でメッセージを送受信する権限を付与する

  {
      "Version":"1",
      "Statement":[
          {
              "Action":[
                  "amqp:GetInstance",
                  "amqp:ListVhost",
                  "amqp:GetVhost"
              ],
              "Resource":[
                  "acs:amqp:*:*:/instances/$instanceId",
                  "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName",
                  "acs:amqp:*:*:/instances/$instanceId/vhosts/*"
              ],
              "Effect":"Allow"
          },
          {
              "Action":[
                  "amqp:ListExchange",
                  "amqp:CreateExchange",
                  "amqp:DeleteExchange",
                  "amqp:ListQueue",
                  "amqp:DeleteQueue",
                  "amqp:CreateQueue",
                  "amqp:BasicRecover",
                  "amqp:BasicCancel",
                  "amqp:BasicPublish",
                  "amqp:BasicConsume",
                  "amqp:BasicAck",
                  "amqp:BasicNack",
                  "amqp:BasicReject",
                  "amqp:QueuePurge",
                  "amqp:BasicGet",
                  "amqp:GetExchange",
                  "amqp:GetQueue"
              ],
              "Resource":"acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
              "Effect":"Allow"
          },
          {
              "Action":[
                  "amqp:ListStaticAccounts",
                  "amqp:FetchStaticAccount",
                  "amqp:DeleteStaticAccount"
              ],
              "Resource":"acs:amqp:*:*:/instances/$instanceId/staticAccount/*",
              "Effect":"Allow"
          }
      ]
  }

• 例 2: メッセージをパブリッシュする権限を付与する

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "amqp:GetInstance"
              ],
              "Resource": [
                  "acs:amqp:*:*:/instances/$instanceId",
                  "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName"
              ],
              "Effect": "Allow"
          },
          {
              "Action": [
                  "amqp:CreateExchange",
                  "amqp:CreateQueue",
                  "amqp:BasicRecover",
                  "amqp:BasicPublish",
                  "amqp:BasicAck",
                  "amqp:BasicNack",
                  "amqp:GetExchange",
                  "amqp:GetQueue"
              ],
              "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
              "Effect": "Allow"
          }
      ]
  }

• 例 3: メッセージをサブスクライブする権限を付与する

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "amqp:GetInstance",
                  "amqp:GetVhost"
              ],
              "Resource": [
                  "acs:amqp:*:*:/instances/$instanceId",
                  "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName"
              ],
              "Effect": "Allow"
          },
          {
              "Action": [
                  "amqp:CreateExchange",
                  "amqp:CreateQueue",
                  "amqp:BasicRecover",
                  "amqp:BasicCancel",
                  "amqp:BasicConsume",
                  "amqp:BasicAck",
                  "amqp:BasicNack",
                  "amqp:BasicReject",
                  "amqp:QueuePurge",
                  "amqp:BasicGet",
                  "amqp:GetExchange",
                  "amqp:GetQueue"
              ],
              "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
              "Effect": "Allow"
          }
      ]
  }

• 例 4: メッセージをパブリッシュおよびサブスクライブする権限を付与する

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "amqp:GetInstance",
                  "amqp:GetVhost"
              ],
              "Resource": [
                  "acs:amqp:*:*:/instances/$instanceId",
                  "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName"
              ],
              "Effect": "Allow"
          },
          {
              "Action": [
                  "amqp:ListExchange",
                  "amqp:CreateExchange",
                  "amqp:DeleteExchange",
                  "amqp:ListQueue",
                  "amqp:DeleteQueue",
                  "amqp:CreateQueue",
                  "amqp:BasicRecover",
                  "amqp:BasicCancel",
                  "amqp:BasicPublish",
                  "amqp:BasicConsume",
                  "amqp:BasicAck",
                  "amqp:BasicNack",
                  "amqp:BasicReject",
                  "amqp:QueuePurge",
                  "amqp:BasicGet",
                  "amqp:GetExchange",
                  "amqp:GetQueue"
              ],
              "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
              "Effect": "Allow"
          }
      ]
  }

• 例 5: ユーザー名とパスワードを管理する権限を付与する

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "amqp:ListStaticAccounts",
                  "amqp:FetchStaticAccount",
                  "amqp:DeleteStaticAccount"
              ],
              "Resource": "acs:amqp:*:*:/instances/$instanceId/staticAccount/*"
          },
          {
              "Effect": "Allow",
              "Action": "amqp:GetInstance",
              "Resource": "acs:amqp:*:*:/instances/$instanceId"
          }
      ],
      "Version": "1"
  }

• 例 6: RAM ユーザーにインスタンスを作成する権限を付与する

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "amqp:CreateInstance",
              "Resource": "acs:amqp:*:$accountid:/instances/*"
          }
      ]
  }

• 例 7: RAM ユーザーにインターネットアクセスをサポートしない Platinum Edition インスタンスのみを作成する権限を付与する

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "amqp:CreateInstance",
              "Resource": "acs:amqp:*:$accountid:/instances/*",
              "Condition": {
                  "StringEquals": {
                      "amqp:InstanceType": [
                          "vip"
                      ],
                      "amqp:SupportEIP": [
                          "false"
                      ]
                  }
              }
          }
      ]
  }

• 例 8: RAM ユーザーに単一インスタンスのすべての権限を付与する

  {
      "Version": "1",
      "Statement": [
          {
              "Action": "amqp:ListInstance",
              "Resource": "acs:amqp:*:*:/instances/*",
              "Effect": "Allow"
          },
          {
              "Action": "amqp:*",
              "Resource": [
                  "acs:amqp:*:*:/instances/$instanceId",
                  "acs:amqp:*:*:/instances/$instanceId/vhosts/*"
              ],
              "Effect": "Allow"
          },
          {
              "Action": [
                  "amqp:ListStaticAccounts",
                  "amqp:FetchStaticAccount",
                  "amqp:DeleteStaticAccount"
              ],
              "Resource": "acs:amqp:*:*:/instances/$instanceId/staticAccount/*",
              "Effect": "Allow"
          }
      ]
  }