RAM 認可 - Cloud Monitor - Alibaba Cloud ドキュメントセンター

Resource Access Management (RAM) は Alibaba Cloud によって提供される、ユーザーのアイデンティティとリソースの権限を管理するためのサービスです。RAM を使用すると、Alibaba Cloud アカウント (root ユーザー) のキーを他のユーザーと共有することを回避でき、ユーザーに必要最小限の権限を付与できます。RAM ではポリシーを使用して権限付与を定義します。このトピックでは、RAM ポリシーの一般的な構造と、 Cloud Monitor のポリシーステートメントを構成する要素である「アクション (Action)」「リソース (Resource)」および「条件 (Condition) 」について説明します。 Cloud Monitor は、RAM コード (RamCode) が cms,log,arms で、 RESOURCE での権限付与がサポートされています。

一般的なポリシー構造

RAM ポリシーは、一般的に以下のような JSON 構造で構成されます。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

ポリシーのフィールドに関する説明：

Version：ポリシーのバージョン番号。現在のポリシーバージョンは 1 です。
Statement：
- Effect：「許可するか、拒否するか」という、最終的な結果を定義します。有効な値：Allow (許可) または Deny (拒否)。
- Action：「何をすることができるか、できないか」を定義する、リソースへの具体的な操作を指します。
- Resource：「何に対して操作を行うか」を定義する、操作の具体的な対象です。対象となるリソースは、ARN (Alibaba Cloud Resource Name) を使用して指定できます。
- Condition：「どのような状況下でポリシーが適用されるか」という、権限が有効になるための付加的な制約条件を定義します。このフィールドは任意です。
  - Condition operator：条件の演算子。条件キーの値とリクエスト値をどのように比較するかを定義する「比較方法」です。条件演算子は、条件のタイプによって異なります。
  - Condition_key：条件のキー。ポリシーの条件が満たされているかを判断するために、リクエストから参照・チェックされる特定の属性を指します。
  - Condition_value：条件の値。条件キーから取得されたリクエスト値と比較するための、具体的な「基準値」です。

アクション (Action)

下表に、Cloud Monitor で定義されたアクションを示します。以下で各列名について説明します。

アクション：特定のリソースに対して実行可能な操作。ポリシー構文ではAction要素として指定します。
API：アクションを具体的に実行するための API。
アクセスレベル：各 API に対して事前定義されているアクセスの種類。有効な値：create、list、get、update、delete。
リソースタイプ：アクションが作用するリソースの種類。リソースレベルでの権限をサポートするかどうかを示すことができます。ポリシーの有効性を確保するため、アクションの対象として適切なリソースを指定する必要があります。
- リソースレベルの権限を持つ API の場合、必要なリソースタイプはアスタリスク (*) でマークされます。ポリシーのResource要素で対応する ARN を指定してください。
- リソースレベルの権限を持たない API の場合、「すべてのリソース」と表示され、ポリシーのResource要素でアスタリスク (*) でマークされます。
条件キー：サービスによって定義された条件のキー。このキーにより、きめ細やかなアクセス制御が可能になります。この制御は、アクション単体に適用することも、特定のリソースに対するアクションに適用することもできます。Alibaba Cloud は、サービス固有の条件キーに加えて、すべての RAM 統合サービスに適用可能な一連の共通条件キーを提供しています。詳細については、「共通条件キー」をご参照ください。
依存アクション：ある特定のアクションを実行するために、前提として実行が必要となる他のアクション。依存アクションの権限も RAM ユーザーまたは RAM ロールに付与する必要があります。

アクション	API	アクセスレベル	リソースタイプ	条件キー	依存アクション
cms:ModifyMonitorGroup	ModifyMonitorGroup	update	*MonitorGroup `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:DescribeMetricRuleTemplateList	DescribeMetricRuleTemplateList	get	All Resource ``	なし	なし
cms:DescribeSystemEventAttribute	DescribeSystemEventAttribute	get	All Resource ``	なし	なし
cms:SendDryRunSystemEvent	SendDryRunSystemEvent	none	All Resource ``	なし	なし
cms:QueryMetricList	DescribeMetricList	get	All Resource ``	なし	なし
cms:ModifyMetricRuleBlackList	ModifyMetricRuleBlackList	update	All Resource ``	なし	なし
cms:DeleteEventRuleTargets	DeleteEventRuleTargets	delete	All Resource ``	なし	なし
cms:EnableMetricRuleBlackList	EnableMetricRuleBlackList	update	All Resource ``	なし	なし
cms:DescribeMonitorGroupInstances	DescribeMonitorGroupInstances	get	All Resource ``	なし	なし
cms:DeleteMonitorGroupDynamicRule	DeleteMonitorGroupDynamicRule	delete	All Resource ``	なし	なし
cms:DescribeCustomMetricList	DescribeCustomMetricList	get	All Resource ``	なし	なし
cms:PutGroupMetricRule	PutGroupMetricRule	create	*GroupMetricRule `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:DeleteHybridMonitorTask	DeleteHybridMonitorTask	delete	All Resource ``	なし	なし
cms:PutMetricRuleTargets	PutMetricRuleTargets	create	All Resource ``	なし	なし
cms:DescribeMonitoringAgentAccessKey	DescribeMonitoringAgentAccessKey	get	All Resource ``	なし	なし
cms:QueryMetricLast	DescribeMetricLast	get	All Resource ``	なし	なし
cms:PutMonitorGroupDynamicRule	PutMonitorGroupDynamicRule	create	*MonitorGroup `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:ModifyGroupMonitoringAgentProcess	ModifyGroupMonitoringAgentProcess	update	*MonitoringAgentProcess `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:DescribeAlertLogHistogram	DescribeAlertLogHistogram	get	All Resource ``	なし	なし
cms:DescribeHostAvailabilityList	DescribeHostAvailabilityList	get	All Resource ``	なし	なし
cms:DescribeMetricRuleTemplateAttribute	DescribeMetricRuleTemplateAttribute	get	All Resource ``	なし	なし
cms:DeleteSiteMonitors	DeleteSiteMonitors	delete	All Resource ``	なし	なし
cms:DescribeSystemEventCount	DescribeSystemEventCount	get	All Resource ``	なし	なし
cms:DescribeSiteMonitorList	DescribeSiteMonitorList	get	All Resource ``	なし	なし
cms:DescribeTagValueList	DescribeTagValueList	get	All Resource ``	なし	なし
cms:DescribeMonitoringConfig	DescribeMonitoringConfig	get	All Resource ``	なし	なし
cms:DescribeMonitorGroupNotifyPolicyList	DescribeMonitorGroupNotifyPolicyList	get	All Resource ``	なし	なし
cms:DescribeMonitorGroups	DescribeMonitorGroups	get	All Resource ``	なし	なし
cms:PutHybridMonitorMetricData	PutHybridMonitorMetricData	create	All Resource ``	なし	なし
cms:DeleteCustomMetric	DeleteCustomMetric	delete	All Resource ``	なし	なし
cms:DeleteHostAvailability	DeleteHostAvailability	delete	*HostAvailability `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:DeleteGroupMonitoringAgentProcess	DeleteGroupMonitoringAgentProcess	delete	All Resource ``	なし	なし
cms:PutResourceMetricRule	PutResourceMetricRule	create	All Resource ``	なし	なし
cms:DescribeMonitorGroupCategories	DescribeMonitorGroupCategories	get	*MonitorGroup `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:DisableActiveMetricRule	DisableActiveMetricRule	update	All Resource ``	なし	なし
cms:CreateMetricRuleBlackList	CreateMetricRuleBlackList	create	All Resource ``	なし	なし
cms:UpdateCustomNamespace	ModifyHybridMonitorNamespace	update	All Resource ``	なし	なし
cms:DescribeSiteMonitorLog	DescribeSiteMonitorLog	list	All Resource ``	なし	なし
cms:DescribeCustomMetricDataPoint	DescribeHybridMonitorDataList	list	All Resource ``	なし	なし
cms:CreateHostAvailability	CreateHostAvailability	create	*HostAvailability `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:DeleteContact	DeleteContact	delete	All Resource ``	なし	なし
cms:DescribeSiteMonitorStatistics	DescribeSiteMonitorStatistics	get	All Resource ``	なし	なし
cms:CreateCustomNamespace	CreateHybridMonitorNamespace	create	All Resource ``	なし	なし
cms:DeleteMonitorGroupNotifyPolicy	DeleteMonitorGroupNotifyPolicy	delete	All Resource ``	なし	なし
cms:RemoveTags	RemoveTags	delete	All Resource ``	なし	なし
cms:DescribeEventRuleAttribute	DescribeEventRuleAttribute	get	All Resource ``	なし	なし
cms:DescribeTagKeyList	DescribeTagKeyList	get	All Resource ``	なし	なし
cms:DescribeMonitoringAgentHosts	DescribeMonitoringAgentHosts	get	All Resource ``	なし	なし
cms:DescribeHybridMonitorTaskList	DescribeHybridMonitorTaskList	list	All Resource ``	なし	なし
cms:PutEventRule	PutEventRule	create	All Resource ``	なし	なし
cms:DescribeMonitoringAgentConfig	DescribeMonitoringAgentConfig	get	All Resource ``	なし	なし
cms:DeleteEventRules	DeleteEventRules	delete	All Resource ``	なし	なし
cms:ModifyHostAvailability	ModifyHostAvailability	update	All Resource ``	なし	なし
cms:BatchExport	BatchExport	list	All Resource ``	なし	なし
cms:DescribeDynamicTagRuleList	DescribeDynamicTagRuleList	get	All Resource ``	なし	なし
cms:DescribeEventRuleTargetList	DescribeEventRuleTargetList	get	All Resource ``	なし	なし
cms:DeleteMetricRuleResources	DeleteMetricRuleResources	delete	All Resource ``	なし	なし
cms:DeleteHybridMonitorSLSGroup	DeleteHybridMonitorSLSGroup	delete	All Resource ``	なし	なし
cms:DisableEventRules	DisableEventRules	update	All Resource ``	なし	なし
cms:DescribeSiteMonitorISPCityList	DescribeSiteMonitorISPCityList	get	All Resource ``	なし	なし
cms:CreateInstantSiteMonitor	CreateInstantSiteMonitor	create	All Resource ``	なし	なし
cms:CreateGroupMonitoringAgentProcess	CreateGroupMonitoringAgentProcess	create	*GroupMonitoringAgentProcess `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:EnableMetricRules	EnableMetricRules	update	All Resource ``	なし	なし
cms:DescribeCustomEventHistogram	DescribeCustomEventHistogram	get	All Resource ``	なし	なし
cms:EnableHostAvailability	EnableHostAvailability	update	All Resource ``	なし	なし
cms:DeleteMonitoringAgentProcess	DeleteMonitoringAgentProcess	delete	All Resource ``	なし	なし
cms:CreateMonitorGroupNotifyPolicy	CreateMonitorGroupNotifyPolicy	create	All Resource ``	なし	なし
cms:PutCustomEvent	PutCustomEvent	create	All Resource ``	なし	なし
cms:QueryMetricTop	DescribeMetricTop	get	All Resource ``	なし	なし
cms:CreateGroupMetricRules	CreateGroupMetricRules	create	*GroupMetricRule `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:DescribeMetricRuleList	DescribeMetricRuleList	get	All Resource ``	なし	なし
cms:DisableSiteMonitors	DisableSiteMonitors	update	All Resource ``	なし	なし
cms:QueryMetricData	DescribeMetricData	get	All Resource ``	なし	なし
cms:DeleteCustomNamespace	DeleteHybridMonitorNamespace	delete	All Resource ``	なし	なし
cms:DisableHostAvailability	DisableHostAvailability	update	*HostAvailability `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:CreateMonitorGroupInstances	CreateMonitorGroupInstances	create	All Resource ``	なし	なし
cms:DescribeMonitorGroupDynamicRules	DescribeMonitorGroupDynamicRules	get	All Resource ``	なし	なし
cms:CreateMonitorGroup	CreateMonitorGroup	create	All Resource ``	なし	なし
cms:DeleteMetricRuleTargets	DeleteMetricRuleTargets	delete	All Resource ``	なし	なし
cms:CreateHybridMonitorSLSGroup	CreateHybridMonitorSLSGroup	create	All Resource ``	なし	なし
cms:PutCustomMetric	PutCustomMetric	create	All Resource ``	なし	なし
cms:BatchCreateInstantSiteMonitor	BatchCreateInstantSiteMonitor	create	All Resource ``	なし	なし
cms:DescribeAlertingMetricRuleResources	DescribeAlertingMetricRuleResources	get	All Resource ``	なし	なし
cms:DescribeMetricRuleCount	DescribeMetricRuleCount	get	All Resource ``	なし	なし
cms:InstallMonitoringAgent	InstallMonitoringAgent	create	All Resource ``	なし	なし
cms:PutResourceMetricRules	PutResourceMetricRules	create	All Resource ``	なし	なし
cms:DescribeMonitorResourceQuotaAttribute	DescribeMonitorResourceQuotaAttribute	get	All Resource ``	なし	なし
cms:PutCustomMetricRule	PutCustomMetricRule	create	All Resource ``	なし	なし
cms:DescribeSiteMonitorQuota	DescribeSiteMonitorQuota	get	All Resource ``	なし	なし
cms:DescribeContactListByContactGroup	DescribeContactListByContactGroup	get	All Resource ``	なし	なし
cms:DescribeContactList	DescribeContactList	get	All Resource ``	なし	なし
cms:DescribeMetricRuleTargets	DescribeMetricRuleTargets	list	All Resource ``	なし	なし
cms:DescribeLogMonitorList	DescribeLogMonitorList	get	All Resource ``	なし	なし
cms:ModifyHybridMonitorTask	ModifyHybridMonitorTask	update	All Resource ``	なし	なし
cms:DescribeProductResourceTagKeyList	DescribeProductResourceTagKeyList	get	All Resource ``	なし	なし
cms:PutContactGroup	PutContactGroup	create	All Resource ``	なし	なし
cms:CreateMetricRuleTemplate	CreateMetricRuleTemplate	create	All Resource ``	なし	なし
cms:CreateHybridMonitorTask	CreateHybridMonitorTask	create	All Resource ``	なし	なし
cms:DescribeGroupMonitoringAgentProcess	DescribeGroupMonitoringAgentProcess	get	All Resource ``	なし	なし
cms:DeleteMetricRuleBlackList	DeleteMetricRuleBlackList	delete	All Resource ``	なし	なし
cms:DescribeAlertLogCount	DescribeAlertLogCount	get	All Resource ``	なし	なし
cms:DescribeSyntheticProbeList	DescribeSyntheticProbeList	none	All Resource ``	なし	なし
cms:ModifyHostInfo	ModifyHostInfo	update	All Resource ``	なし	なし
cms:PutLogMonitor	PutLogMonitor	create	All Resource ``	なし	なし
cms:DeleteMonitorGroupInstances	DeleteMonitorGroupInstances	delete	*MonitorGroupInstances `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:DescribeHybridMonitorSLSGroup	DescribeHybridMonitorSLSGroup	get	All Resource ``	なし	なし
cms:DescribeMonitoringAgentStatuses	DescribeMonitoringAgentStatuses	get	All Resource ``	なし	なし
cms:DescribeCustomNamespace	DescribeHybridMonitorNamespaceList	get	All Resource ``	なし	なし
cms:PutMonitoringConfig	PutMonitoringConfig	create	All Resource ``	なし	なし
cms:ModifyMonitorGroupInstances	ModifyMonitorGroupInstances	update	All Resource ``	なし	なし
cms:EnableActiveMetricRule	EnableActiveMetricRule	update	All Resource ``	なし	なし
cms:DeleteDynamicTagGroup	DeleteDynamicTagGroup	delete	All Resource ``	なし	なし
cms:PutContact	PutContact	create	All Resource ``	なし	なし
cms:DeleteContactGroup	DeleteContactGroup	delete	All Resource ``	なし	なし
cms:DescribeMonitoringAgentProcesses	DescribeMonitoringAgentProcesses	get	All Resource ``	なし	なし
cms:PutCustomEventRule	PutCustomEventRule	create	All Resource ``	なし	なし
cms:DescribeMetricRuleBlackList	DescribeMetricRuleBlackList	list	All Resource ``	なし	なし
cms:CreateSiteMonitor	CreateSiteMonitor	create	All Resource ``	なし	なし
cms:DescribeCustomEventCount	DescribeCustomEventCount	get	All Resource ``	なし	なし
cms:Cursor	Cursor	list	All Resource ``	なし	なし
cms:CreateMonitorGroupByResourceGroupId	CreateMonitorGroupByResourceGroupId	create	All Resource ``	なし	なし
cms:EnableEventRules	EnableEventRules	update	All Resource ``	なし	なし
cms:DeleteMetricRules	DeleteMetricRules	delete	All Resource ``	なし	なし
cms:DescribeActiveMetricRuleList	DescribeActiveMetricRuleList	get	All Resource ``	なし	なし
cms:CreateDynamicTagGroup	CreateDynamicTagGroup	create	All Resource ``	なし	なし
cms:DescribeContactGroupList	DescribeContactGroupList	get	All Resource ``	なし	なし
cms:CreateMonitorAgentProcess	CreateMonitorAgentProcess	create	All Resource ``	なし	なし
cms:DescribeSystemEventHistogram	DescribeSystemEventHistogram	get	All Resource ``	なし	なし
cms:DescribeSiteMonitorData	DescribeSiteMonitorData	get	All Resource ``	なし	なし
cms:DescribeLogMonitorAttribute	DescribeLogMonitorAttribute	get	All Resource ``	なし	なし
cms:DescribeMonitorGroupInstanceAttribute	DescribeMonitorGroupInstanceAttribute	get	*MonitorGroupInstances `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:ApplyMetricRuleTemplate	ApplyMetricRuleTemplate	create	*MetricRuleTemplate `acs:cms::{#accountId}:group/{#groupId}`	なし	なし
cms:AddTags	AddTags	create	All Resource ``	なし	なし
cms:DeleteLogMonitor	DeleteLogMonitor	delete	All Resource ``	なし	なし
cms:DescribeSiteMonitorAttribute	DescribeSiteMonitorAttribute	get	All Resource ``	なし	なし
cms:DescribeCustomEventAttribute	DescribeCustomEventAttribute	get	All Resource ``	なし	なし
cms:DescribeProductsOfActiveMetricRule	DescribeProductsOfActiveMetricRule	get	All Resource ``	なし	なし
cms:CreateMetricRuleResources	CreateMetricRuleResources	create	All Resource ``	なし	なし
cms:DeleteMonitorGroup	DeleteMonitorGroup	delete	All Resource ``	なし	なし
cms:PutEventRuleTargets	PutEventRuleTargets	create	All Resource ``	なし	なし
cms:UninstallMonitoringAgent	UninstallMonitoringAgent	delete	All Resource ``	なし	なし
cms:CreateMonitoringAgentProcess	CreateMonitoringAgentProcess	create	All Resource ``	なし	なし
cms:DescribeUnhealthyHostAvailability	DescribeUnhealthyHostAvailability	get	All Resource ``	なし	なし
cms:DescribeEventRuleList	DescribeEventRuleList	get	All Resource ``	なし	なし
cms:DeleteMetricRuleTemplate	DeleteMetricRuleTemplate	delete	All Resource ``	なし	なし
cms:ModifyHybridMonitorSLSGroup	ModifyHybridMonitorSLSGroup	create	All Resource ``	なし	なし
cms:EnableSiteMonitors	EnableSiteMonitors	update	All Resource ``	なし	なし
cms:ModifyMetricRuleTemplate	ModifyMetricRuleTemplate	update	All Resource ``	なし	なし
cms:DescribeAlertLogList	DescribeAlertLogList	get	All Resource ``	なし	なし
cms:DisableMetricRules	DisableMetricRules	update	All Resource ``	なし	なし
cms:ModifySiteMonitor	ModifySiteMonitor	update	All Resource ``	なし	なし

リソース (Resource)

下表に、Cloud Monitor で定義されたリソースを示します。ポリシーステートメントのResource要素で指定することで、特定のアクションの適用対象を設定できます。各リソースは対応する ARN を持ち、一意的に識別されます。ARN はacs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}形式で、構成要素は以下のとおりです。

acs：Alibaba Cloud Service の頭文字で、Alibaba Cloud のパブリッククラウドを指します。
{#ramcode}：RAM における具体的な Alibaba Cloud サービスの識別コード。
{#regionId}：リージョン ID。アスタリスク (*) に設定した場合、リソースがすべてのリージョンに適用することを示します。
{#accountId}：Alibaba Cloud アカウントの ID。アスタリスク (*) に設定した場合、リソースがすべての Alibaba Cloud アカウントに適用することを示します。
{#resourceType}：具体的な Alibaba Cloud サービスによって定義されたリソースの識別子で、ファイルパスに似た階層構造をサポートしています。アスタリスク (*) に設定した場合、ステートメントがすべてのリソースに適用することを示します。

リソースタイプ	ARN
MonitorGroup	acs:cms::{#accountId}:group/{#groupId}
SystemEvent	acs:cms::{#accountId}:group/{#groupId}
GroupMetricRule	acs:cms::{#accountId}:group/{#groupId}
MonitoringAgentProcess	acs:cms::{#accountId}:group/{#groupId}
HostAvailability	acs:cms::{#accountId}:group/{#groupId} acs:cms:{#regionId}:{#accountId}:HostAvailability/*
HybridMonitorNamespace	acs:cms,log,arms::{#accountId}:hybridmonitornamespace/* acs:cms::{#accountId}:
SlsGroup	acs:cms:{#regionId}:{#accountId}:SlsGroup/SlsGroupId acs:cms:{#regionId}:{#accountId}:SlsGroup/*
SiteMonitor	acs:cloudmonitorservice::{#accountId}:*
GroupMonitoringAgentProcess	acs:cms::{#accountId}:group/{#groupId}
InstantSiteMonitor	acs:cms:{#regionId}:{#accountId}:instantsitemonitor/*
MetricRuleTargets	acs:cms::{#accountId}:*
LogMonitor	acs:cms::{#accountId}:group/{#groupId}
MonitorGroupInstances	acs:cms::{#accountId}:group/{#groupId}
AlarmContact	acs:cms:{#regionId}:{#accountId}:AlarmContact/*
MetricRuleTemplate	acs:cms::{#accountId}:group/{#groupId}

条件 (Condition)

Cloud Monitor では、プロダクトレベルの条件キーは定義されていません。その代わりに、Alibaba Cloud 共通条件キーを使用してアクセスを制御できます。詳細については、「共通条件キー」をご参照ください。

カスタム RAM ポリシーの作成方法

カスタムポリシーを作成し、RAM ユーザー、RAM ユーザーグループ、または RAM ロールに付与できます。詳細については、以下をご参照ください。