Auto Scaling アクセス制御の RAM ポリシー構造を理解する - ESS - Alibaba Cloud - Auto Scaling

Resource Access Management (RAM) は Alibaba Cloud によって提供される、ユーザーのアイデンティティとリソースの権限を管理するためのサービスです。RAM を使用すると、Alibaba Cloud アカウント (root ユーザー) のキーを他のユーザーと共有することを回避でき、ユーザーに必要最小限の権限を付与できます。RAM ではポリシーを使用して権限付与を定義します。このトピックでは、RAM ポリシーの一般的な構造と、 弹性伸缩 のポリシーステートメントを構成する要素である「アクション (Action)」「リソース (Resource)」および「条件 (Condition) 」について説明します。 弹性伸缩 は、RAM コード (RamCode) が ess で、 资源级 での権限付与がサポートされています。

一般的なポリシー構造

RAM ポリシーは、一般的に以下のような JSON 構造で構成されます。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

ポリシーのフィールドに関する説明：

Version：ポリシーのバージョン番号。現在のポリシーバージョンは 1 です。
Statement：
- Effect：「許可するか、拒否するか」という、最終的な結果を定義します。有効な値：Allow (許可) または Deny (拒否)。
- Action：「何をすることができるか、できないか」を定義する、リソースへの具体的な操作を指します。
- Resource：「何に対して操作を行うか」を定義する、操作の具体的な対象です。対象となるリソースは、ARN (Alibaba Cloud Resource Name) を使用して指定できます。
- Condition：「どのような状況下でポリシーが適用されるか」という、権限が有効になるための付加的な制約条件を定義します。このフィールドは任意です。
  - Condition operator：条件の演算子。条件キーの値とリクエスト値をどのように比較するかを定義する「比較方法」です。条件演算子は、条件のタイプによって異なります。
  - Condition_key：条件のキー。ポリシーの条件が満たされているかを判断するために、リクエストから参照・チェックされる特定の属性を指します。
  - Condition_value：条件の値。条件キーから取得されたリクエスト値と比較するための、具体的な「基準値」です。

アクション (Action)

下表に、弹性伸缩 で定義されたアクションを示します。以下で各列名について説明します。

アクション：特定のリソースに対して実行可能な操作。ポリシー構文ではAction要素として指定します。
API：アクションを具体的に実行するための API。
アクセスレベル：各 API に対して事前定義されているアクセスの種類。有効な値：create、list、get、update、delete。
リソースタイプ：アクションが作用するリソースの種類。リソースレベルでの権限をサポートするかどうかを示すことができます。ポリシーの有効性を確保するため、アクションの対象として適切なリソースを指定する必要があります。
- リソースレベルの権限を持つ API の場合、必要なリソースタイプはアスタリスク (*) でマークされます。ポリシーのResource要素で対応する ARN を指定してください。
- リソースレベルの権限を持たない API の場合、「すべてのリソース」と表示され、ポリシーのResource要素でアスタリスク (*) でマークされます。
条件キー：サービスによって定義された条件のキー。このキーにより、きめ細やかなアクセス制御が可能になります。この制御は、アクション単体に適用することも、特定のリソースに対するアクションに適用することもできます。Alibaba Cloud は、サービス固有の条件キーに加えて、すべての RAM 統合サービスに適用可能な一連の共通条件キーを提供しています。詳細については、「共通条件キー」をご参照ください。
依存アクション：ある特定のアクションを実行するために、前提として実行が必要となる他のアクション。依存アクションの権限も RAM ユーザーまたは RAM ロールに付与する必要があります。

アクション	API	アクセスレベル	リソースタイプ	条件キー	依存アクション
ess:ListTagKeys	ListTagKeys	get	すべてのリソース。 ``	なし	なし
ess:CreateEciScalingConfiguration	CreateEciScalingConfiguration	create	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:CreateAlarm	CreateAlarm	create	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:UntagResources	UntagResources	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:QueryPredictiveMetric	QueryPredictiveMetric	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:CreateNotificationConfiguration	CreateNotificationConfiguration	create	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeEciScalingConfigurationDetail	DescribeEciScalingConfigurationDetail	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ResumeInstanceRefresh	ResumeInstanceRefresh	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:EnableAlarm	EnableAlarm	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:SuspendInstanceRefresh	SuspendInstanceRefresh	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeRegions	DescribeRegions	get	すべてのリソース。 ``	なし	なし
ess:DescribeLimitation	DescribeLimitation	get	すべてのリソース。 ``	なし	なし
ess:DescribeScalingActivityDetail	DescribeScalingActivityDetail	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:QueryPredictiveTaskInfo	QueryPredictiveTaskInfo	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ApplyScalingGroup	ApplyScalingGroup	create	すべてのリソース。 ``	なし	なし
ess:RollbackInstanceRefresh	RollbackInstanceRefresh	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeNotificationConfigurations	DescribeNotificationConfigurations	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeScalingInstances	DescribeScalingInstances	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:AttachDBInstances	AttachDBInstances	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeScalingConfigurations	DescribeScalingConfigurations	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DeleteScalingGroup	DeleteScalingGroup	delete	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:TagResources	TagResources	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:SetInstancesProtection	SetInstancesProtection	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ModifyAlertConfiguration	ModifyAlertConfiguration	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DeleteScalingRule	DeleteScalingRule	delete	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:RecordLifecycleActionHeartbeat	RecordLifecycleActionHeartbeat	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeDiagnoseReports	DescribeDiagnoseReports	get	すべてのリソース。 ``	なし	なし
ess:ModifyInstanceAttribute	ModifyInstanceAttribute	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:CreateLifecycleHook	CreateLifecycleHook	create	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ListTagValues	ListTagValues	get	すべてのリソース。 ``	なし	なし
ess:DescribeScalingActivityStatistics	DescribeScalingActivityStatistics	get	すべてのリソース。 ``	なし	なし
ess:ModifyAlarm	ModifyAlarm	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:SetGroupDeletionProtection	SetGroupDeletionProtection	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeAlertConfiguration	DescribeAlertConfiguration	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:CancelInstanceRefresh	CancelInstanceRefresh	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeInstanceRefreshes	DescribeInstanceRefreshes	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:EnterStandby	EnterStandby	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DeleteDiagnoseReport	DeleteDiagnoseReport	delete	すべてのリソース。 ``	なし	なし
ess:RebalanceInstances	RebalanceInstances	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DetachInstances	DetachInstances	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:QueryHistoricalMetric	QueryHistoricalMetric	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ModifyNotificationConfiguration	ModifyNotificationConfiguration	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeEciScalingConfigurations	DescribeEciScalingConfigurations	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DisableScalingGroup	DisableScalingGroup	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DeleteAlarm	DeleteAlarm	delete	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeScalingActivities	DescribeScalingActivities	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DeleteLifecycleHook	DeleteLifecycleHook	delete	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:CreateScalingRule	CreateScalingRule	create	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:AttachServerGroups	AttachServerGroups	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeScalingGroups	DescribeScalingGroups	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeElasticStrength	DescribeElasticStrength	get	すべてのリソース。 ``	なし	なし
ess:DescribeNotificationTypes	DescribeNotificationTypes	get	すべてのリソース。 ``	なし	なし
ess:CreateScalingGroup	CreateScalingGroup	create	スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/`	なし	なし
ess:ModifyScheduledTask	ModifyScheduledTask	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeLifecycleHooks	DescribeLifecycleHooks	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeAlarms	DescribeAlarms	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DetachAlbServerGroups	DetachAlbServerGroups	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ModifyLifecycleHook	ModifyLifecycleHook	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:AttachAlbServerGroups	AttachAlbServerGroups	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeLifecycleActions	DescribeLifecycleActions	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:SuspendProcesses	SuspendProcesses	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ScaleWithAdjustment	ScaleWithAdjustment	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ChangeResourceGroup	ChangeResourceGroup	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:AttachInstances	AttachInstances	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeInstanceCreateAndDeleteStatistics	DescribeInstanceCreateAndDeleteStatistics	get	すべてのリソース。 ``	なし	なし
ess:ListTagResources	ListTagResources	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DeleteEciScalingConfiguration	DeleteEciScalingConfiguration	delete	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DetachServerGroups	DetachServerGroups	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ApplyEciScalingConfiguration	ApplyEciScalingConfiguration	create	すべてのリソース。 ``	なし	なし
ess:StartInstanceRefresh	StartInstanceRefresh	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:CreateScalingConfiguration	CreateScalingConfiguration	create	すべてのリソース。 ``	なし	なし
ess:ModifyEciScalingConfiguration	ModifyEciScalingConfiguration	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DeleteScalingConfiguration	DeleteScalingConfiguration	delete	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DisableAlarm	DisableAlarm	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:AttachLoadBalancers	AttachLoadBalancers	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DetachLoadBalancers	DetachLoadBalancers	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ModifyScalingGroup	ModifyScalingGroup	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ModifyScalingRule	ModifyScalingRule	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribePatternTypes	DescribePatternTypes	list	すべてのリソース。 ``	なし	なし
ess:ExecuteScalingRule	ExecuteScalingRule	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DetachDBInstances	DetachDBInstances	none	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DeleteNotificationConfiguration	DeleteNotificationConfiguration	delete	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeRegions	VerifyAuthentication		すべてのリソース。 ``	なし	なし
ess:SetInstanceHealth	SetInstanceHealth	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ResumeProcesses	ResumeProcesses	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ModifyScalingConfiguration	ModifyScalingConfiguration	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:CreateScheduledTask	CreateScheduledTask	create	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:QueryPredictiveValue	QueryPredictiveValue	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeScalingGroupDiagnoseDetails	DescribeScalingGroupDiagnoseDetails	get	すべてのリソース。 ``	なし	なし
ess:DescribeRegions	VerifyUser	get	すべてのリソース。 ``	なし	なし
ess:EnableScalingGroup	EnableScalingGroup	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:ExitStandby	ExitStandby	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:AttachVServerGroups	AttachVServerGroups	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeScalingGroupDetail	DescribeScalingGroupDetail	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeScalingRules	DescribeScalingRules	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:CreateDiagnoseReport	CreateDiagnoseReport	create	すべてのリソース。 ``	なし	なし
ess:DetachVServerGroups	DetachVServerGroups	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DescribeScheduledTasks	DescribeScheduledTasks	get	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:CompleteLifecycleAction	CompleteLifecycleAction	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DeleteScheduledTask	DeleteScheduledTask	delete	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし
ess:DetachInstances	RemoveInstances	update	*スケーリンググループ。 `acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId}`	なし	なし

リソース (Resource)

下表に、弹性伸缩 で定義されたリソースを示します。ポリシーステートメントのResource要素で指定することで、特定のアクションの適用対象を設定できます。各リソースは対応する ARN を持ち、一意的に識別されます。ARN はacs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}形式で、構成要素は以下のとおりです。

acs：Alibaba Cloud Service の頭文字で、Alibaba Cloud のパブリッククラウドを指します。
{#ramcode}：RAM における具体的な Alibaba Cloud サービスの識別コード。
{#regionId}：リージョン ID。アスタリスク (*) に設定した場合、リソースがすべてのリージョンに適用することを示します。
{#accountId}：Alibaba Cloud アカウントの ID。アスタリスク (*) に設定した場合、リソースがすべての Alibaba Cloud アカウントに適用することを示します。
{#resourceType}：具体的な Alibaba Cloud サービスによって定義されたリソースの識別子で、ファイルパスに似た階層構造をサポートしています。アスタリスク (*) に設定した場合、ステートメントがすべてのリソースに適用することを示します。

リソースタイプ	ARN
スケーリンググループ。	acs:ess:{#regionId}:{#accountId}:scalinggroup/{#ScalingGroupId} acs:ess:{#regionId}:{#accountId}:scalinggroup/*

条件 (Condition)

弹性伸缩 では、プロダクトレベルの条件キーは定義されていません。その代わりに、Alibaba Cloud 共通条件キーを使用してアクセスを制御できます。詳細については、「共通条件キー」をご参照ください。

カスタム RAM ポリシーの作成方法

カスタムポリシーを作成し、RAM ユーザー、RAM ユーザーグループ、または RAM ロールに付与できます。詳細については、以下をご参照ください。