:カスタムポリシーの作成

一般的なカスタムポリシーの例

以下の例は、スクリプトエディターを使用して、一般的な認可シナリオのカスタムポリシーを設定する方法を示しています。

アカウントレベルの操作の認可

RAM ユーザーや AccessKey の作成などのアカウントレベルの操作では、Resource 要素を "*" に設定し、認可範囲を [Alibaba Cloud アカウント全体] に設定する必要があります。これらの操作は、特定のリソースグループに制限することはできません。

次の例では、RAM ユーザーと AccessKey を作成する権限を付与します：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateUser",
        "ram:CreateAccessKey"
      ],
      "Resource": "*"
    }
  ]
}

RAM ユーザーが自身のパスワードを変更することを許可する

次の例では、RAM ユーザーが自身のログオンパスワードを変更するために必要な最小権限を付与します：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:ChangePassword",
      "Resource": "*"
    }
  ]
}

特定のリソースへの読み取り専用アクセス

次の例では、特定の Elastic Compute Service (ECS) インスタンスへの読み取り専用アクセスを許可します。i-xxx を実際のインスタンス ID に置き換えてください。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:Describe*",
      "Resource": "acs:ecs:*:*:instance/i-xxx"
    }
  ]
}

Simple Log Service のきめ細かい認可

次の例では、Simple Log Service でログをクエリし、ストアビューを作成する権限を付与します。exampleproject と examplelogstore を実際のプロジェクト名と Logstore 名に置き換えてください。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStoreLogs",
        "log:CreateStoreView"
      ],
      "Resource": [
        "acs:log:*:*:project/exampleproject/logstore/examplelogstore",
        "acs:log:*:*:project/exampleproject"
      ]
    }
  ]
}

ビジュアルエディターで利用できない製品固有のアクション

一部のアクションはビジュアルエディターにリストされておらず、スクリプトエディターを使用してのみ設定できます。例：

• Security Center：yundun-sc:DescribeCdnIpList

• Milvus コンソールアクセス：CreateConnection、DbmConnect、およびその他の関連アクション

• Operation Orchestration Service (OOS)：oos:StartExecution

次の例では、OOS の実行を開始する権限を付与します：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oos:StartExecution",
      "Resource": "*"
    }
  ]
}

ビジュアルエディターで利用できないアクションについては、[スクリプトエディター] タブをクリックし、アクション名を手動で入力してください。

ECS のデプロイ (最小権限)

ECS インスタンスのデプロイには、複数のサービスにまたがるアクションの組み合わせが必要です。次の例では、インスタンス作成時に必要な VPC およびセキュリティグループリソースへの読み取り専用アクセスを含め、ECS インスタンスの作成に必要な最小権限を付与します：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:RunInstances",
        "ecs:DescribeInstances",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:DescribeSecurityGroups"
      ],
      "Resource": "*"
    }
  ]
}

• ecs:RunInstances：ECS インスタンスを作成して起動します。

• ecs:DescribeInstances：インスタンスの詳細を照会します。

• vpc:DescribeVpcs と vpc:DescribeVSwitches：インスタンス作成時に VPC と vSwitch を選択できます。

• ecs:DescribeSecurityGroups：インスタンス作成時にセキュリティグループを選択できます。

VPC ネットワーク設定 (最小権限)

次の例では、VPC と vSwitch を作成するために必要な最小権限を付与します：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc:CreateVpc",
        "vpc:CreateVSwitch",
        "vpc:CreateSecurityGroup",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches"
      ],
      "Resource": "*"
    }
  ]
}

• vpc:CreateVpc：VPC を作成します。

• vpc:CreateVSwitch：vSwitch を作成します。

• vpc:CreateSecurityGroup：セキュリティグループを作成します。

• vpc:DescribeVpcs と vpc:DescribeVSwitches：ネットワークリソースを照会します。

権限拒否エラーのトラブルシューティング

RAM ユーザーがコンソールで AccessForbidden エラーまたは権限拒否メッセージを受け取った場合に問題を特定して解決するには、次の手順に従います：

ステップ 1：API 診断ツールを使用して不足している権限を特定する

Alibaba Cloud API 診断ツールを使用し、失敗したリクエストの RequestID を入力します。このツールを使用すると、不足している正確な AuthAction が特定されます。

ステップ 2：認可範囲の確認

認可範囲が操作のタイプと一致していることを確認してください：

• アカウントレベルの操作 (例：ram:CreateUser)：認可範囲は [Alibaba Cloud アカウント全体] に設定する必要があります。範囲を特定のリソースグループに制限すると、これらの操作は失敗します。

• リソースグループ対応の操作：ポリシーが正しいリソースグループ範囲でアタッチされていることを確認するか、範囲を [Alibaba Cloud アカウント全体] に設定してください。

ステップ 3：暗黙的な依存関係の権限の確認

一部の操作では、主要なアクション以外に追加の権限が必要になる場合があります。例：

• Simple Log Service のクエリ：log:GetLogStoreLogs に加えて、log:GetProject および log:GetLogStore 権限が必要になる場合があります。

• Milvus コンソールへのログイン：主要な管理アクションに加えて、CreateConnection および DbmConnect 権限が必要です。

必要なすべての権限を特定するには、対応する Alibaba Cloud サービスの RAM 認可に関するドキュメントをご参照ください。

ワイルドカードによるポリシーサイズの削減

同じプレフィックスを共有する複数のアクションをワイルドカードにまとめることで、ポリシーのサイズを大幅に削減できます。たとえば、次のポリシーを次のように変更します：

{"Action": ["oss:GetBucket", "oss:GetObject", "oss:GetBucketAcl", "oss:GetBucketLogging"]}

変更後：

{"Action": ["oss:Get*"]}

機能別のポリシー分割

複数の機能をカバーする大きなポリシーを個別のポリシーに分割し、それぞれを異なる RAM ユーザーまたはユーザーグループにアタッチします。たとえば、読み取り操作と書き込み操作を 2 つのポリシーに分割します：

• 読み取り専用ポリシー：{"Action": ["oss:Get*", "oss:List*"]}

• 書き込みポリシー：{"Action": ["oss:Put*", "oss:Delete*"]}

リソース別のポリシー分割

リソースごとにポリシーを分割します。たとえば、異なる OSS バケットの権限を異なるポリシーに分離し、各ポリシーが特定のバケットのみの権限を付与するようにします。これにより、単一のポリシーが管理するリソースが多すぎるのを防ぎます。

注意事項

• ビジュアルエディターでポリシーを設定する際は、すべてのアクションを選択しないでください。最小権限のアクションセットを選択して、ポリシードキュメントをできるだけ小さく保ってください。

• ポリシーを分割した後は、分割後の各ポリシーを RAM ユーザーまたはユーザーグループに個別にアタッチする必要があり、管理が複雑になります。

• ワイルドカードでアクションをまとめると、過剰な権限付与につながる可能性があります。ビジネスで実際に必要な権限よりも多くの権限を付与しないように、権限範囲を慎重に確認してください。

• ポリシーはアタッチ後すぐに有効になります。待機する必要はありません。

ビジュアルエディターで特定の権限が見つからない、またはポリシーの保存に失敗するのはなぜですか？

この問題は、以下の理由で発生する可能性があります：

アクションがビジュアルエディターでサポートされていない、またはまだリストされていない

oos:StartExecution や swas-open:* のようなワイルドカードパターンなど、新しくリリースされた、または下位レベルの API アクションの一部は、ビジュアルエディターで利用できない場合があります。また、ビジュアルエディターが特定のリソース制限下でワイルドカードパターンを適切に処理できない場合もあります。この問題を解決するには、[スクリプトエディター] タブをクリックし、アクション名を手動で入力してください。

アクション名のスペルミス

一部の API アクション名には、単数形と複数形の違いがあります。たとえば、正しいアクション名は ecs:ReInitDisks であり、ecs:ReInitDisk ではありません。対応する Alibaba Cloud サービスの API リファレンスで正確なアクション名を確認してください。

システムポリシーが同期されていない

AliyunAccountCenterFullAccess などの特定のシステムポリシーが見つからない場合は、そのシステムポリシーの公式 JSON コンテンツを見つけ、[スクリプトエディター] を使用してカスタムポリシーとして再作成してください。

JSON 形式の検証の失敗

JSON の構文が正しいことを確認してください。よくある間違いは次のとおりです：

• 単一のステートメントで Resource フィールドを複数回定義している。複数のリソースを指定するには、単一の Resource フィールド内に JSON 配列としてリストしてください。例："Resource": ["acs:ecs:*:*:instance/i-aaa", "acs:ecs:*:*:instance/i-bbb"]。

• 不正な ARN 形式を使用している。ARN が acs:<service>:<region>:<account-id>:<resource-type>/<resource-id> のパターンに従っていることを確認してください。

FullAccess またはカスタムポリシーを付与した後、コンソールにアクセスしたり操作を実行したりできないのはなぜですか？

この問題は、以下の理由で発生する可能性があります：

コンソールアクセスの依存関係

一部の製品コンソールでは、ビジネス固有の権限に加えて、PowerUserAccess などの基本的なコンソールアクセス権限が必要です。ビジネス固有の FullAccess ポリシーを付与するだけでは、コンソールページをロードするのに十分でない場合があります。必要な基本アクセスポリシーを RAM ユーザーにアタッチしてください。

認可範囲の不一致

ポリシーをアタッチする際に選択した認可範囲が、ポリシー内の Resource 定義と一致していることを確認してください。たとえば、OceanBase などのサービスのインスタンスレベルの操作では、認可範囲を [Alibaba Cloud アカウント全体] に設定し、ポリシーでインスタンスの ARN を指定する必要があります。

ポリシーの優先度と競合

別のポリシーの Deny ステートメントが Allow 権限を上書きしていないか、またはカスタムポリシーとシステムポリシーの間に競合が存在しないかを確認してください。MQTT パブリックネットワークアクセスなどの複雑なシナリオで、カスタムポリシーが有効にならない場合は、公式に推奨されているシステムポリシー (例：AliyunMQFullAccess) を試して接続性を確認してから、カスタムポリシーのトラブルシューティングをさらに進めてください。