Express Connect:リソースグループによるきめ細かなアクセス制御

仕組み

リソースグループは、プロジェクトや環境ごとにリソースを整理します。リソースをグループ化したら、そのグループにのみ権限を限定する RAM ポリシーをアイデンティティ (RAM ユーザー、ユーザーグループ、ロールなど) にアタッチできます。詳細については、「リソースのグループ化と権限付与」をご参照ください。

このアプローチには、主に 2 つのメリットがあります。

• きめ細かなアクセス制御：アカウント全体の権限を付与する代わりに、アイデンティティのアクセスを特定のグループ内のリソースのみに制限できます。これにより、プロジェクト固有のワークロードを分離し、意図しないアクセスのリスクを軽減できます。

• 管理の簡素化：新しいリソースがリソースグループに追加されると、そのグループに限定された権限を持つ RAM アイデンティティは自動的にアクセスできます。新しいリソースが作成されるたびに RAM ポリシーを更新する必要はありません。

RAM ユーザーへのリソースグループレベルの権限付与

このセクションでは、特定のリソースグループ内のExpress Connectリソースにのみアクセス権限を RAM ユーザーに付与する方法について説明します。

サポート対象リソース

以下のExpress Connectリソースは、リソースグループレベルの権限付与をサポートしています。

サポート対象外アクション

以下のExpress Connectアクションは、リソースグループレベルの権限付与をサポートしていません。

上記のアクションについては、 [Resource Scope] を [Account] に設定し、カスタムポリシーを作成する必要があります。

以下のポリシー例は、必要に応じてカスタマイズ可能です。

• 読み取り専用アクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "expressconnectrouter:DescribeCarrierCloudLink",
          "expressconnectrouter:DescribeCarrierCloudLinks",
          "expressconnectrouter:DescribeLineProviders",
          "expressconnectrouter:DescribePartnerAccessPointRegions",
          "expressconnectrouter:DescribePartnerAccessPoints",
          "expressconnectrouter:DescribePartnerVendors",
          "expressconnectrouter:DescribeVpcRelatedAssociation",
          "expressconnectrouter:ListExpressConnectRouterSupportedRegion",
          "vpc:CheckVpnBgpEnabled",
          "vpc:DescribeAccessPoints",
          "vpc:DescribeBandwidthPackageMonitorData",
          "vpc:DescribeBandwidthPackagePublicIpMonitorData",
          "vpc:DescribeGlobalAccelerationInstances",
          "vpc:DescribeGrantRulesToCbn",
          "vpc:DescribeIPv6TranslatorAclListAttributes",
          "vpc:DescribeIPv6TranslatorAclLists",
          "vpc:DescribeIPv6TranslatorEntries",
          "vpc:DescribeInstances",
          "vpc:DescribeNetworkQuotas",
          "vpc:DescribePublicIpAddress",
          "vpc:DescribeRouterInterfacesForGlobal",
          "vpc:DescribeServerRelatedGlobalAccelerationInstances",
          "vpc:DescribeVPCs",
          "vpc:DescribeVpnGatewayAvailableZones",
          "vpc:DescribeVrouters",
          "vpc:DescribeZones",
          "vpc:GetBusinessAccessPointDetail",
          "vpc:GetFlowLogServiceStatus",
          "vpc:GetNatIpCidrAttribute",
          "vpc:GetObject",
          "vpc:GetPhysicalConnectionServiceStatus",
          "vpc:GetPublicIpAddressPoolServiceStatus",
          "vpc:GetTrafficMirrorServiceStatus",
          "vpc:GetVpcIpamServiceStatus",
          "vpc:GetVpnGatewayDiagnoseResult",
          "vpc:ListBusinessAccessPointPortUsage",
          "vpc:ListBusinessAccessPoints",
          "vpc:ListBusinessRegions",
          "vpc:ListGeographicSubRegions",
          "vpc:ListNatGatewayEcsMetric",
          "vpc:ListVpcCloudInstance",
          "vpc:ListVpcEndpointServicesByEndUser"
        ],
        "Resource": "*"
      }
    ]
  }
  

• フルアクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "expressconnectrouter:CreateCarrierCloudLink",
          "expressconnectrouter:DeleteCarrierCloudLink",
          "expressconnectrouter:DescribeCarrierCloudLink",
          "expressconnectrouter:DescribeCarrierCloudLinks",
          "expressconnectrouter:DescribeLineProviders",
          "expressconnectrouter:DescribePartnerAccessPointRegions",
          "expressconnectrouter:DescribePartnerAccessPoints",
          "expressconnectrouter:DescribePartnerVendors",
          "expressconnectrouter:DescribeVpcRelatedAssociation",
          "expressconnectrouter:ListExpressConnectRouterSupportedRegion",
          "expressconnectrouter:ModifyCarrierCloudLink",
          "vpc:AddBandwidthPackageIps",
          "vpc:AddGlobalAccelerationInstanceIp",
          "vpc:AddIPv6TranslatorAclListEntry",
          "vpc:AllocateVpcIpv6Cidr",
          "vpc:CancelExpressCloudConnection",
          "vpc:CheckVpnBgpEnabled",
          "vpc:ConvertBandwidthPackage",
          "vpc:CreaeNatGateway",
          "vpc:CreateBandwidthPackage",
          "vpc:CreateBondRouterInterfaceConnection",
          "vpc:CreateExpressCloudConnection",
          "vpc:CreateGlobalAccelerationInstance",
          "vpc:CreateIPv6Translator",
          "vpc:CreateIPv6TranslatorAclList",
          "vpc:CreateIPv6TranslatorEntry",
          "vpc:CreateNqa",
          "vpc:DeleteBandwidthPackage",
          "vpc:DeleteGlobalAccelerationInstance",
          "vpc:DeleteIPv6Translator",
          "vpc:DeleteIPv6TranslatorAclList",
          "vpc:DeleteIPv6TranslatorEntry",
          "vpc:DeleteIpv6EgressOnlyRule",
          "vpc:DescribeAccessPoints",
          "vpc:DescribeBandwidthPackageMonitorData",
          "vpc:DescribeBandwidthPackagePublicIpMonitorData",
          "vpc:DescribeGlobalAccelerationInstances",
          "vpc:DescribeGrantRulesToCbn",
          "vpc:DescribeIPv6TranslatorAclListAttributes",
          "vpc:DescribeIPv6TranslatorAclLists",
          "vpc:DescribeIPv6TranslatorEntries",
          "vpc:DescribeInstances",
          "vpc:DescribeNetworkQuotas",
          "vpc:DescribePublicIpAddress",
          "vpc:DescribeRouterInterfacesForGlobal",
          "vpc:DescribeServerRelatedGlobalAccelerationInstances",
          "vpc:DescribeVPCs",
          "vpc:DescribeVpnGatewayAvailableZones",
          "vpc:DescribeVrouters",
          "vpc:DescribeZones",
          "vpc:DiagnoseVpnConnections",
          "vpc:DiagnoseVpnConnectionsHistory",
          "vpc:DiagnoseVpnGateway",
          "vpc:DisableNatGatewayEcsMetric",
          "vpc:EnableNatGatewayEcsMetric",
          "vpc:GetBusinessAccessPointDetail",
          "vpc:GetFlowLogServiceStatus",
          "vpc:GetNatIpCidrAttribute",
          "vpc:GetObject",
          "vpc:GetPhysicalConnectionServiceStatus",
          "vpc:GetPublicIpAddressPoolServiceStatus",
          "vpc:GetTrafficMirrorServiceStatus",
          "vpc:GetVpcIpamServiceStatus",
          "vpc:GetVpnGatewayDiagnoseResult",
          "vpc:GrantInstanceToCbn",
          "vpc:InnerVpcCreateDscp",
          "vpc:InnerVpcDeleteDscp",
          "vpc:InnerVpcDescribeCrossBorderRouterInterface",
          "vpc:InnerVpcDescribeDscp",
          "vpc:InnerVpcModifyDscp",
          "vpc:InnerVpcRefreshDscp",
          "vpc:ListBusinessAccessPointPortUsage",
          "vpc:ListBusinessAccessPoints",
          "vpc:ListBusinessRegions",
          "vpc:ListGeographicSubRegions",
          "vpc:ListNatGatewayEcsMetric",
          "vpc:ListVpcCloudInstance",
          "vpc:ListVpcEndpointServicesByEndUser",
          "vpc:ModifyBandwidthPackageAttribute",
          "vpc:ModifyBandwidthPackageSpec",
          "vpc:ModifyBypassToaAttribute",
          "vpc:ModifyExpressCloudConnectionAttribute",
          "vpc:ModifyGlobalAccelerationInstanceAttributes",
          "vpc:ModifyGlobalAccelerationInstanceSpec",
          "vpc:ModifyIPv6TranslatorAclAttribute",
          "vpc:ModifyIPv6TranslatorAclListEntry",
          "vpc:ModifyIPv6TranslatorAttribute",
          "vpc:ModifyIPv6TranslatorBandwidth",
          "vpc:ModifyIPv6TranslatorEntry",
          "vpc:ModifyIpv6GatewaySpec",
          "vpc:OpenFlowLogService",
          "vpc:OpenPhysicalConnectionService",
          "vpc:OpenPublicIpAddressPoolService",
          "vpc:OpenTrafficMirrorService",
          "vpc:OpenVpcIpamService",
          "vpc:QueryPconnTrafficPrice",
          "vpc:QueryPhysicalConnectionPrice",
          "vpc:RejectVpcPeerConnection",
          "vpc:RemoveBandwidthPackageIps",
          "vpc:RemoveGlobalAccelerationInstanceIp",
          "vpc:RemoveIPv6TranslatorAclListEntry",
          "vpc:RevokeInstanceFromCbn",
          "vpc:SetHaVipMasterInstance",
          "vpc:TransformEipSegmentToPublicIpAddressPool",
          "vpc:UnAssociateEipAddress",
          "vpc:UnassociateGlobalAccelerationInstance",
          "vpc:UpdateCrossBoarderStatus",
          "vpc:associatevpccidrblock",
          "vpc:createvpc",
          "vpc:deleteBgpNetwork",
          "vpc:describeVpcs",
          "vpc:releaseIpv6Address"
        ],
        "Resource": "*"
      }
    ]
  }
  

よくある質問