サービスリンクロールの詳細を表示し、RAM ユーザーを使用して作成する方法 -

初めて専用リソースグループを使用する場合、DataWorks が他の Alibaba Cloud プロダクトにアクセスするための権限を付与する必要があります。権限付与が完了すると、システムは自動的に AliyunServiceRoleForDataWorks という名前のサービスリンクロールを作成します。このロールは、DataWorks が他の Alibaba Cloud プロダクトのリソースにアクセスするために使用されます。この Topic では、ロールの詳細を表示する方法について説明します。

背景

サービスリンクロールの詳細については、「サービスリンクロール」をご参照ください。

AliyunServiceRoleForDataWorks の概要

ロール名: AliyunServiceRoleForDataWorks
ロールの目的: DataWorks が、Elastic Computing Service (ECS)、VPC、File Storage NAS、Container Registry (ACR)、MaxCompute、Object Storage Service (OSS) などの他のクラウドプロダクトのリソースにアクセスできるようにします。
アタッチされたロールポリシー: AliyunServiceRolePolicyForDataWorks

ポリシーの詳細:

RAM コンソールにログインし、[ID 管理] > [ロール] を選択して、サービスリンクロールの詳細を表示します。

サービスリンクロールの名前をクリックします。[権限管理] タブで、アタッチされているシステムポリシーの詳細を表示できます。このポリシーには、次のプロダクトに対する権限が含まれています。

Elastic Computing Service (ECS) のアクセス権限

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ecs:AttachNetworkInterface",
        "ecs:AuthorizeSecurityGroup",
        "ecs:AuthorizeSecurityGroupEgress",
        "ecs:CreateNetworkInterface",
        "ecs:CreateNetworkInterfacePermission",
        "ecs:CreateSecurityGroup",
        "ecs:DeleteNetworkInterface",
        "ecs:DeleteNetworkInterfacePermission",
        "ecs:DeleteSecurityGroup",
        "ecs:DescribeNetworkInterfacePermissions",
        "ecs:DescribeNetworkInterfaces",
        "ecs:DescribeSecurityGroupAttribute",
        "ecs:DescribeSecurityGroupReferences",
        "ecs:DescribeSecurityGroups",
        "ecs:DetachNetworkInterface",
        "ecs:JoinSecurityGroup",
        "ecs:LeaveSecurityGroup",
        "ecs:ModifyNetworkInterfaceAttribute",
        "ecs:ModifySecurityGroupAttribute",
        "ecs:ModifySecurityGroupPolicy",
        "ecs:ModifySecurityGroupRule",
        "ecs:RevokeSecurityGroup",
        "ecs:RevokeSecurityGroupEgress",
        "ecs:AssignIpv6Addresses",
        "ecs:UnassignIpv6Addresses"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

VPC のアクセス権限

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "vpc:DescribeVpcs",
        "vpc:DescribeVpcAttribute",
        "vpc:DescribeVSwitches",
        "vpc:DescribeVSwitchAttributes",
        "vpc:CreateVpc",
        "vpc:CreateVSwitch"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

File Storage NAS のアクセス権限

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "nas:DescribeFileSystems",
        "nas:DescribeMountTargets",
        "nas:CreateMountTarget",
        "nas:ModifyMountTarget",
        "nas:DescribeProtocolMountTarget"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Container Registry (ACR) のアクセス権限

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "cr:ListNamespace",
        "cr:ListRepository",
        "cr:GetAuthorizationToken",
        "cr:ListInstanceEndpoint",
        "cr:PullRepository",
        "cr:PushRepository",
        "cr:GetInstance",
        "cr:GetInstanceVpcEndpoint",
        "cr:ListInstance",
        "cr:ListInstanceDomain",
        "cr:GetRepository",
        "cr:GetRepositoryLayers",
        "cr:ListRepositoryTag",
        "cr:GetNamespace",
        "cr:GetRepoTag",
        "cr:CreateInstanceVpcEndpointLinkedVpc",
        "cr:GetInstanceEndpoint"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

MaxCompute のアクセス権限

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "odps:GetImage",
        "odps:AddImage",
        "odps:RemoveImage"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Object Storage Service (OSS) のアクセス権限

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "oss:GetObject",
        "oss:PutObject",
        "oss:DeleteObject",
        "oss:ListParts",
        "oss:AbortMultipartUpload",
        "oss:ListObjects",
        "oss:ListBuckets",
        "oss:PutBucketCors",
        "oss:GetBucketCors",
        "oss:DeleteBucketCors",
        "oss:GetBucketInfo",
        "oss:ListBuckets"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

DataWorks リソースのコントロール権限

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "dataworks:ListTagResources",
        "dataworks:TagResources",
        "dataworks:UntagResources",
        "dataworks:ChangeResourceManagerResourceGroup"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}