Application Real-Time Monitoring Service:アプリケーションモニタリングのために RAM ユーザーにカスタムポリシーをアタッチ

カスタムポリシーの利用シーン

ARMS は、2 つのレベルのアクセス制御を提供します。

システムポリシーが要件を満たす場合は、直接アタッチしてください。単一のアプリケーションに読み取り専用アクセスを付与するなど、きめ細かな制御が必要な場合は、カスタムポリシーを作成します。

カスタムポリシーの基本

カスタムポリシーは、オプションの条件とともに、どのリソースに対してどのアクションが許可または拒否されるかを定義する JSON ドキュメントです。カスタムポリシーを作成した後、それを RAM ユーザー、ユーザーグループ、またはロールにアタッチして、指定された権限を付与します。

主な動作：

• カスタムポリシーは、プリンシパル (ユーザー、ユーザーグループ、またはロール) にアタッチされるまで効果がありません。

• カスタムポリシーを削除するには、まずすべてのプリンシパルからデタッチする必要があります。

• カスタムポリシーは、RAM のバージョン管理メカニズムを通じてバージョン管理をサポートします。

ステップ 1：カスタムポリシーの作成

1. 管理権限を持つ RAM ユーザーとして RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[権限] > [ポリシー] を選択します。

3. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   

4. [ポリシーの作成] ページで、[JSON] タブをクリックします。エディターにポリシーを入力します。

   各要素の詳細については、「ポリシー要素のリファレンス」をご参照ください。

   次の例では、中国 (杭州) リージョンにある key0: value01 または key0: value02 のタグが付いたアプリケーションに読み取り専用アクセスを付与します。

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "arms:ReadTraceApp"
         ],
         "Resource": "acs:arms:cn-hangzhou:*:armsapp/*",
         "Effect": "Allow",
         "Condition": {
           "StringEquals": {
             "arms:tag/key0": [
               "value01",
               "value02"
             ]
           }
         }
       }
     ]
   }

5. [オプションの高度な最適化] をクリックし、次に [実行] をクリックして RAM にポリシーを最適化させます。このステップでは、互換性のないリソースや条件を分割し、リソースの範囲を絞り込み、ステートメントの重複排除やマージを行います。

6. [OK] をクリックします。

7. [ポリシーの作成] ダイアログボックスで、[名前] と [説明] を入力し、[OK] をクリックします。

ステップ 2：カスタムポリシーのアタッチ

組織でのアクセス管理方法に応じて、カスタムポリシーを RAM ユーザーまたは RAM ロールにアタッチします。

RAM ユーザーへのアタッチ

1. RAM 管理者として RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[アイデンティティ] > [ユーザー] を選択します。

3. [ユーザー] ページで、対象の RAM ユーザーを見つけ、[操作] 列の [権限の追加] をクリックします。

   一度に複数のユーザーに権限を付与するには、ユーザーを選択し、ページ下部の [権限の追加] をクリックします。

   

4. [権限の付与] パネルで、次のパラメーターを設定します。

   1. [リソース範囲]：この権限付与の範囲を選択します。

      • [アカウント]：権限は現在の Alibaba Cloud アカウント内のすべてのリソースに適用されます。

      • [リソースグループ]：権限は特定のリソースグループ内のリソースにのみ適用されます。

      重要

      「リソースグループ」を選択した場合は、必要なクラウドサービスがリソースグループをサポートしていることを確認してください。詳細については、「リソースグループと連携するサービス」をご参照ください。リソースグループに対する権限の付与方法について詳しくは、「リソースグループを使用して RAM ユーザーに特定の ECS インスタンスを管理する権限を付与する」をご参照ください。

   2. [プリンシパル]：権限を受け取る RAM ユーザー。デフォルトで現在のユーザーが選択されます。

   3. [ポリシー]：作成したカスタムポリシーを選択します。一度に複数のポリシーを選択できます。

      説明

      システムは AdministratorAccess や AliyunRAMFullAccess などのリスクの高いシステムポリシーにフラグを立てます。特に必要な場合を除き、これらのアタッチは避けてください。

   4. [権限を付与] をクリックします。

5. [閉じる] をクリックします。

RAM ロールへのアタッチ

1. RAM 管理者として RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[アイデンティティ] > [ロール] を選択します。

3. [ロール] ページで、対象の RAM ロールを見つけ、[操作] 列の [権限の付与] をクリックします。

   一度に複数のロールに権限を付与するには、ロールを選択し、リスト下部の [権限の付与] をクリックします。

   

4. [権限の付与] パネルで、次のパラメーターを設定します。

   1. [リソース範囲]：この権限付与の範囲を選択します。

      • [アカウント]：権限は現在の Alibaba Cloud アカウント内のすべてのリソースに適用されます。

      • [リソースグループ]：権限は特定のリソースグループ内のリソースにのみ適用されます。

      説明

      「[リソースグループ]」を選択した場合は、必要なクラウドサービスがリソースグループをサポートしていることを確認してください。詳細については、「リソースグループと連携するサービス」をご参照ください。

   2. [プリンシパル]：権限を受け取る RAM ロール。デフォルトで現在のロールが選択されます。

   3. [ポリシー]：作成したカスタムポリシーを選択します。一度に複数のポリシーを選択できます。

      説明

      システムは AdministratorAccess や AliyunRAMFullAccess などのリスクの高いシステムポリシーにフラグを立てます。特に必要な場合を除き、これらのアタッチは避けてください。

   4. [権限を付与] をクリックします。

5. [閉じる] をクリックします。

ポリシーをアタッチした後、RAM ロールは付与された権限で ARMS にアクセスできます。詳細については、「RAM ロールの権限を借用する」をご参照ください。

ポリシー要素のリファレンス

Effect

ステートメントの結果が明示的な許可か明示的な拒否かを指定します。有効な値：Allow、Deny。

Action

次の表に、カスタムポリシーで使用できる ARMS アプリケーションモニタリングのアクションを示します。

Resource

Alibaba Cloud リソース名 (ARN) を使用して対象リソースを指定します。

acs:arms:<region-id>:*:armsapp/<app-name>

プレースホルダーを実際の値に置き換えます。

Condition

条件は、タグのキーと値のペアによってリソースをフィルターします。条件ブロックには 1 つ以上の条件が含まれ、各条件は演算子、キー、および 1 つ以上の値で構成されます。

評価ルール：

• 条件キーに複数の値が指定されている場合、リクエストがいずれかの値に一致すると条件が満たされます。

• 単一の演算子に複数のキーがアタッチされている場合、すべてのキー要件が満たされた場合にのみ条件が満たされます。

• 条件ブロックに複数の条件が存在する場合、すべての条件が満たされる必要があります。

サポートされている演算子：

条件キー： arms:tag

次の例は、key0: value01 または key0: value02 のタグが付いたアプリケーションに一致します。

"Condition": {
  "StringEquals": {
    "arms:tag/key0": [
      "value01",
      "value02"
    ]
  }
}

アプリケーションのタグ付けの詳細については、「タグの管理」をご参照ください。

関連トピック

• カスタムポリシーを作成する

• カスタムポリシーのドキュメントと説明を変更する

• カスタムポリシーの削除

• ポリシーリファレンスの管理

• カスタムポリシーのバージョンを管理する

• ARMS の RAM 認可