ApsaraMQ for RabbitMQ:RAM ID のカスタムポリシーの作成

関連操作

• カスタムポリシーの作成

• カスタムポリシーのドキュメントおよび説明の変更

• カスタムポリシーの削除

• アクセスポリシー承認メカニズムの管理

• カスタムポリシーバージョンの管理

リソース階層

instances/
├── $instanceId/
│   ├── vhosts/
│   │   └── $vhostName/
│   │       ├── exchanges/
│   │       │   └── $exchangeName/
│   │       │       └── messages/*
│   │       └── queues/
│   │           └── $queueName/
│   │               └── messages/*
│   └── staticAccount/*

サポートされているリージョンについては、「エンドポイント」をご参照ください。

クライアント API アクション

RAM ワイルドカードマッチングルール

RAM ポリシー内のワイルドカード (*) は、アクション名のプレフィックス に基づいてマッチします。amqp:Get* は Get で始まるすべてのアクション（例：amqp:GetInstance や amqp:GetQueue）にマッチし、他の単語で始まるアクションにはマッチしません。amqp:BasicGet は Basic で始まるため、amqp:Get* にはマッチしません。メッセージのコンシュームに BasicGet を呼び出すには、アクションリストに明示的に amqp:BasicGet を追加する必要があります。

代表的な権限エラーと必要なアクション

API 呼び出しが UnauthorizedOperation を返し、AccessDeniedDetail に NoPermissionType=ImplicitDeny が表示される場合、ポリシーに必要なアクションが不足しています。よくあるシナリオとして、amqp:BasicGet を追加せずに amqp:Get* を設定するケースがあります。このような場合は、明示的に amqp:BasicGet を追加してください。

ポリシー例：

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "amqp:Get*",
                "amqp:List*",
                "amqp:BasicGet"
            ],
            "Resource": "*"
        }
    ]
}

コンソールおよび OpenAPI アクション

CreateInstance の条件キー

CreateInstance アクションでは、インスタンス作成を制限するために次の条件キーがサポートされています。詳細については、「条件」をご参照ください。

例 1：vhost への完全なメッセージングアクセス

特定の vhost 内で、エクスチェンジ、キュー、および静的アカウント認証情報のパブリッシュ、コンシューム、管理を行う権限を付与します。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "amqp:GetInstance",
                "amqp:ListVhost",
                "amqp:GetVhost"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:ListExchange",
                "amqp:CreateExchange",
                "amqp:DeleteExchange",
                "amqp:ListQueue",
                "amqp:DeleteQueue",
                "amqp:CreateQueue",
                "amqp:BasicRecover",
                "amqp:BasicCancel",
                "amqp:BasicPublish",
                "amqp:BasicConsume",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:BasicReject",
                "amqp:QueuePurge",
                "amqp:BasicGet",
                "amqp:GetExchange",
                "amqp:GetQueue"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:ListStaticAccounts",
                "amqp:FetchStaticAccount",
                "amqp:DeleteStaticAccount"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/staticAccount/*",
            "Effect": "Allow"
        }
    ]
}

例 2：メッセージのパブリッシュ

プロデューサークライアントが特定の vhost 内のエクスチェンジにメッセージをパブリッシュするために必要な最小限の権限を付与します。具体的には、エクスチェンジおよびキューの宣言、メッセージのパブリッシュ、配信の応答を行います。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "amqp:GetInstance"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:CreateExchange",
                "amqp:CreateQueue",
                "amqp:BasicRecover",
                "amqp:BasicPublish",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:GetExchange",
                "amqp:GetQueue"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
            "Effect": "Allow"
        }
    ]
}

例 3：メッセージのコンシューム

コンシューマークライアントが特定の vhost 内のキューからメッセージをコンシュームするために必要な最小限の権限を付与します。具体的には、エクスチェンジおよびキューの宣言、メッセージのコンシューム、応答の管理を行います。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "amqp:GetInstance",
                "amqp:GetVhost"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:CreateExchange",
                "amqp:CreateQueue",
                "amqp:BasicRecover",
                "amqp:BasicCancel",
                "amqp:BasicConsume",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:BasicReject",
                "amqp:QueuePurge",
                "amqp:BasicGet",
                "amqp:GetExchange",
                "amqp:GetQueue"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
            "Effect": "Allow"
        }
    ]
}

例 4：メッセージのパブリッシュとコンシューム

特定の vhost 内でメッセージのパブリッシュおよびコンシュームを行う権限を付与します。「例 2」および「例 3」のアクションを組み合わせています。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "amqp:GetInstance",
                "amqp:GetVhost"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:ListExchange",
                "amqp:CreateExchange",
                "amqp:DeleteExchange",
                "amqp:ListQueue",
                "amqp:DeleteQueue",
                "amqp:CreateQueue",
                "amqp:BasicRecover",
                "amqp:BasicCancel",
                "amqp:BasicPublish",
                "amqp:BasicConsume",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:BasicReject",
                "amqp:QueuePurge",
                "amqp:BasicGet",
                "amqp:GetExchange",
                "amqp:GetQueue"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
            "Effect": "Allow"
        }
    ]
}

例 5：静的アカウント認証情報の管理

特定のインスタンスの静的アカウント認証情報（ユーザー名とパスワードのペア）を一覧表示、作成、削除する権限を付与します。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "amqp:ListStaticAccounts",
                "amqp:FetchStaticAccount",
                "amqp:DeleteStaticAccount"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/staticAccount/*"
        },
        {
            "Effect": "Allow",
            "Action": "amqp:GetInstance",
            "Resource": "acs:amqp:*:*:/instances/$instanceId"
        }
    ]
}

例 6：インスタンスの作成

任意のリージョンで任意のエディションの ApsaraMQ for RabbitMQ インスタンスを作成する権限を付与します。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "amqp:CreateInstance",
            "Resource": "acs:amqp:*:$accountid:/instances/*"
        }
    ]
}

例 7：インターネットアクセスなしの Platinum Edition インスタンスの作成

条件キーを使用して、インスタンス作成を Platinum Edition (vip) かつインターネットアクセスをサポートしない (SupportEIP: false) インスタンスに制限します。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "amqp:CreateInstance",
            "Resource": "acs:amqp:*:$accountid:/instances/*",
            "Condition": {
                "StringEquals": {
                    "amqp:InstanceType": [
                        "vip"
                    ],
                    "amqp:SupportEIP": [
                        "false"
                    ]
                }
            }
        }
    ]
}

例 8：単一インスタンスへの完全アクセス

単一インスタンスに対する ApsaraMQ for RabbitMQ のすべての権限（vhost 管理、メッセージング操作、静的アカウント管理を含む）を付与します。amqp:ListInstance アクションはすべてのインスタンスに対してスコープが設定されているため、ターゲットインスタンスがコンソールのインスタンス一覧に表示されます。

{
    "Version": "1",
    "Statement": [
        {
            "Action": "amqp:ListInstance",
            "Resource": "acs:amqp:*:*:/instances/*",
            "Effect": "Allow"
        },
        {
            "Action": "amqp:*",
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:ListStaticAccounts",
                "amqp:FetchStaticAccount",
                "amqp:DeleteStaticAccount"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/staticAccount/*",
            "Effect": "Allow"
        }
    ]
}

例 9：異なる RAM ユーザーに異なるキューへのアクセスを許可

RAM ユーザー A が キュー A にのみアクセスでき、RAM ユーザー B が キュー B にのみアクセスできるようにするには、2 つの個別のカスタムポリシーを作成し、それぞれ対応する RAM ユーザーにアタッチします。これにより、各 RAM ユーザーは自身のポリシーで指定されたキューに対してのみ許可された操作を実行できます。

RAM ユーザー A 向けのポリシー（queueA へのアクセスを許可）：

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "amqp:BasicConsume",
                "amqp:BasicPublish",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:GetQueue"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/queues/queueA"
            ]
        }
    ]
}

RAM ユーザー B 向けには、Resource 値が queueB を指すようにした同一のポリシーを 2 つ目に作成し、RAM ユーザー B にアタッチします。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "amqp:BasicConsume",
                "amqp:BasicPublish",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:GetQueue"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/queues/queueB"
            ]
        }
    ]
}