:リソースグループによるきめ細かなアクセス制御

仕組み

リソースグループは、プロジェクトや環境ごとにリソースを整理します。リソースをグループ化したら、そのグループにのみ権限を限定する RAM ポリシーをアイデンティティ (RAM ユーザー、ユーザーグループ、ロールなど) にアタッチできます。詳細については、「リソースのグループ化と権限付与」をご参照ください。

このアプローチには、主に 2 つのメリットがあります。

• きめ細かなアクセス制御：アカウント全体の権限を付与する代わりに、アイデンティティのアクセスを特定のグループ内のリソースのみに制限できます。これにより、プロジェクト固有のワークロードを分離し、意図しないアクセスのリスクを軽減できます。

• 管理の簡素化：新しいリソースがリソースグループに追加されると、そのグループに限定された権限を持つ RAM アイデンティティは自動的にアクセスできます。新しいリソースが作成されるたびに RAM ポリシーを更新する必要はありません。

RAM ユーザーへのリソースグループレベルの権限付与

このセクションでは、特定のリソースグループ内のData Disaster Recoveryリソースにのみアクセス権限を RAM ユーザーに付与する方法について説明します。

サポート対象リソース

以下のData Disaster Recoveryリソースは、リソースグループレベルの権限付与をサポートしています。

サポート対象外アクション

以下のData Disaster Recoveryアクションは、リソースグループレベルの権限付与をサポートしていません。

上記のアクションについては、 [Resource Scope] を [Account] に設定し、カスタムポリシーを作成する必要があります。

以下のポリシー例は、必要に応じてカスタマイズ可能です。

• 読み取り専用アクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dbs:DescribeAvailableCrossRegion",
          "dbs:DescribeAvailableInstanceClasses",
          "dbs:DescribeBackupDownloadLink",
          "dbs:DescribeBackupGatewayList",
          "dbs:DescribeBackupObjectDetail",
          "dbs:DescribeBackupPlanDistribution",
          "dbs:DescribeBackupTasks",
          "dbs:DescribeBakDataSourceDBList",
          "dbs:DescribeCurrentRegions",
          "dbs:DescribeDBInstanceDownloadSize",
          "dbs:DescribeDBInstanceStorage",
          "dbs:DescribeDLAService",
          "dbs:DescribeDbsNodeIp",
          "dbs:DescribeDbsRamStatus",
          "dbs:DescribeDbsServiceLinkedRole",
          "dbs:DescribeDisasterRecoveryCrossRegionDetail",
          "dbs:DescribeDisasterRecoveryCrossRegionList",
          "dbs:DescribeDisasterRecoveryDisableList",
          "dbs:DescribeDisasterRecoveryOverview",
          "dbs:DescribeEnterpriseRestoreReport",
          "dbs:DescribeFeatureSupported",
          "dbs:DescribeInnerStorageAccessInfo",
          "dbs:DescribeJobErrorCode",
          "dbs:DescribeJobPhaseStatus",
          "dbs:DescribeNodeCidrList",
          "dbs:DescribePreSellPackage",
          "dbs:DescribeRamRoleEnable",
          "dbs:DescribeRecoverSchemasForDataSource",
          "dbs:DescribeRecoverTablesForDataSource",
          "dbs:DescribeRefreshDisasterRecoveryOverview",
          "dbs:DescribeRegions",
          "dbs:DescribeSandboxFromRDS",
          "dbs:DescribeStoragePool",
          "dbs:DescribeStoragePoolBackupPlans",
          "dbs:DescribeStoragePoolList",
          "dbs:GetBackupSetOssDownloadUrl",
          "dbs:GetDBListFromAgent",
          "dbs:GetDbsJobList",
          "dbs:GetRecoverRangeForDataSource",
          "dbs:GetUserVpcList"
        ],
        "Resource": "*"
      }
    ]
  }
  

• フルアクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dbs:AccessBakDataSource",
          "dbs:ApplyBackupStrategyTemplate",
          "dbs:BatchCreateDbsJob",
          "dbs:BatchStartDbsJob",
          "dbs:CreateAdvancedPolicy",
          "dbs:CreateBackupJob",
          "dbs:CreateBackupPlan",
          "dbs:CreateBackupSetDownloadJobForDataSource",
          "dbs:CreateFullBackupSetDownload",
          "dbs:CreateGetDBListFromAgentTask",
          "dbs:CreateIncrementBackupSetDownload",
          "dbs:CreateRestoreJobForDataSource",
          "dbs:DeleteBackupSetForDataSource",
          "dbs:DeleteBakDataSourceDBAccount",
          "dbs:DeleteDownloadTask",
          "dbs:DeleteStoragePool",
          "dbs:DescribeAvailableCrossRegion",
          "dbs:DescribeAvailableInstanceClasses",
          "dbs:DescribeBackupDownloadLink",
          "dbs:DescribeBackupGatewayList",
          "dbs:DescribeBackupObjectDetail",
          "dbs:DescribeBackupPlanDistribution",
          "dbs:DescribeBackupTasks",
          "dbs:DescribeBakDataSourceDBList",
          "dbs:DescribeCurrentRegions",
          "dbs:DescribeDBInstanceDownloadSize",
          "dbs:DescribeDBInstanceStorage",
          "dbs:DescribeDLAService",
          "dbs:DescribeDbsNodeIp",
          "dbs:DescribeDbsRamStatus",
          "dbs:DescribeDbsServiceLinkedRole",
          "dbs:DescribeDisasterRecoveryCrossRegionDetail",
          "dbs:DescribeDisasterRecoveryCrossRegionList",
          "dbs:DescribeDisasterRecoveryDisableList",
          "dbs:DescribeDisasterRecoveryOverview",
          "dbs:DescribeEnterpriseRestoreReport",
          "dbs:DescribeFeatureSupported",
          "dbs:DescribeInnerStorageAccessInfo",
          "dbs:DescribeJobErrorCode",
          "dbs:DescribeJobPhaseStatus",
          "dbs:DescribeNodeCidrList",
          "dbs:DescribePreSellPackage",
          "dbs:DescribeRamRoleEnable",
          "dbs:DescribeRecoverSchemasForDataSource",
          "dbs:DescribeRecoverTablesForDataSource",
          "dbs:DescribeRefreshDisasterRecoveryOverview",
          "dbs:DescribeRegions",
          "dbs:DescribeSandboxFromRDS",
          "dbs:DescribeStoragePool",
          "dbs:DescribeStoragePoolBackupPlans",
          "dbs:DescribeStoragePoolList",
          "dbs:GetBackupSetOssDownloadUrl",
          "dbs:GetDBListFromAgent",
          "dbs:GetDbsJobList",
          "dbs:GetRecoverRangeForDataSource",
          "dbs:GetUserVpcList",
          "dbs:InitializeDbsServiceLinkedRole",
          "dbs:ModifyBakDataSource",
          "dbs:ModifyDbsBackupPolicy",
          "dbs:RefreshDisasterRecoveryOverview",
          "dbs:ResumeJob",
          "dbs:RetryDownloadTask",
          "dbs:StartRestoreTask",
          "dbs:StartTask",
          "dbs:SyncRdsInstance",
          "dbs:batchCreateDbsJob",
          "dbs:batchStartDbsJob",
          "dbs:describeInnerStorageAccessInfo"
        ],
        "Resource": "*"
      }
    ]
  }
  

よくある質問