Resource Access Management:カスタムポリシーの作成

作成方法

• ビジュアルエディターの使用

  Resource Access Management (RAM) は、WYSIWYG (見たままが得られる) のビジュアルエディターを提供します。エフェクト、サービス、アクション、リソース、条件を選択することで、カスタムポリシーを生成できます。組み込みのインテリジェントな検証機能により、ポリシーが有効かつ効果的であることが保証されます。この方法は直感的で分かりやすいです。

• スクリプトエディターの使用

  RAM は、JSON スクリプトエディターを提供します。ポリシーの構文と構造に従ってカスタムポリシーを記述する必要があります。この方法は柔軟性が高く、ポリシー構文に精通している場合に適しています。

• ポリシーのインポート

  • ポリシーテンプレートのインポート：RAM は、システム管理者、財務スタッフ、ネットワーク管理者などの一般的なシナリオ向けのポリシーテンプレートを提供します。適切なポリシーテンプレートをインポートし、わずかな変更を加えるだけで、カスタムポリシーを迅速に作成できます。

  • システムポリシーのインポート：システムポリシーをインポートし、ビジネスニーズに合わせて変更できます。これにより、標準化されたテンプレートからカスタムポリシーを便利かつ迅速に作成できます。

ビジュアルエディターの使用

1. RAM 管理者として RAM コンソールにログインします。

2. 左側のナビゲーションペインで、権限管理 > ポリシー を選択します。

3. ポリシー ページで、ポリシーの作成 をクリックします。

4. ポリシーの作成 ページで、視覚化 タブをクリックします。

   ビジュアルエディターには、[エフェクト] (必須、[許可] または [拒否] に設定可能、デフォルト：[許可])、[サービス] (必須)、[アクション] (必須)、[リソース] (必須)、[条件] (任意) のフィールドを含むステートメントフォームが表示されます。[アクション]、[リソース]、[条件] を設定する前に、サービスを選択する必要があります。ページ下部で [ステートメントの追加] をクリックして、さらにステートメントを追加できます。

5. ポリシーを設定します。

   ポリシーの基本要素の詳細については、「権限ポリシーの要素」をご参照ください。

   1. 効果 セクションで、許可 または 却下 を選択します。

   2. サービス セクションで、サービスを選択します。

      説明

      コンソールには、ビジュアルエディターをサポートするサービスが表示されます。

   3. 操作 セクションで、全部操作 または 指定操作 を選択します。

      前の手順で選択したサービスに基づいて、利用可能なアクションが自動的に一覧表示されます。指定操作 を選択した場合は、特定のアクションを選択する必要があります。

   4. リソース セクションで、すべてのリソース または 指定资源 を選択します。

      選択したアクションに基づいて、利用可能なリソースタイプが自動的に一覧表示されます。指定资源 を選択した場合は、リソースを追加 をクリックして ARN を指定する必要があります。すべて選択 機能を使用して、設定項目のすべてのリソースをすばやく選択できます。

      説明

      UI 上では、関連するアクションの ARN が 必須 としてマークされます。ポリシーが正しく機能するように、これらの ARN を指定してください。

   5. 条件 セクションで、条件を追加 をクリックして条件を設定します。

      条件には、Alibaba Cloud の共通条件とサービス固有の条件が含まれます。設定したサービスとアクションに基づいて、利用可能な条件が自動的に一覧表示されます。条件キーを選択し、その値を設定するだけです。

   6. ステートメントを追加 をクリックし、上記の手順を繰り返して複数のステートメントを設定します。

6. ページの上部で 最適化 をクリックし、次に 行う をクリックして、ポリシーの高度な最適化を実行します。

   高度なポリシー最適化機能は、次のタスクを実行します。

   • 互換性のないアクションのリソースまたは条件を分割します。

   • リソースの範囲を絞り込みます。

   • 重複するステートメントを削除するか、ステートメントをマージします。

7. ポリシーの作成 ページで、OK をクリックします。

8. ポリシーの作成 ダイアログボックスで、ポリシー名 と 説明 を入力し、OK をクリックします。

スクリプトエディターの使用

1. RAM 管理者として RAM コンソールにログインします。

2. 左側のナビゲーションペインで、権限管理 > ポリシー を選択します。

3. ポリシー ページで、ポリシーの作成 をクリックします。

4. ポリシーの作成 ページで、JSON タブをクリックします。

   ページに JSON エディターが表示されます。デフォルトのポリシーテンプレートには、Version 要素 ("1" に設定) と Statement 配列が含まれています。各ステートメントには Effect (デフォルトは "Allow")、Action、Resource、Condition 要素が含まれています。Action と Resource 要素を入力する必要があります。

5. ポリシーの内容を入力します。

   ポリシーの構文と構造の詳細については、「ポリシーの構造と構文」をご参照ください。

6. ページの上部で 最適化 をクリックし、次に 行う をクリックして、ポリシーの高度な最適化を実行します。

   高度なポリシー最適化機能は、次のタスクを実行します。

   • 互換性のないアクションのリソースまたは条件を分割します。

   • リソースの範囲を絞り込みます。

   • 重複するステートメントを削除するか、ステートメントをマージします。

7. ポリシーの作成 ページで、OK をクリックします。

8. ポリシーの作成 ダイアログボックスで、ポリシー名 と 説明 を入力し、OK をクリックします。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateUser",
        "ram:CreateAccessKey",
        "ram:ListUsers"
      ],
      "Resource": ["*"]
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:ChangePassword"
      ],
      "Resource": ["*"]
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:DescribeInstances",
        "ecs:DescribeInstanceAttribute",
        "ecs:DescribeInstanceStatus"
      ],
      "Resource": [
        "acs:ecs:*:*:instance/i-bp1xxxxxxxxxxxxxxxxx"
      ]
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStoreLogs",
        "log:CreateStoreView",
        "log:GetProject",
        "log:GetLogStore"
      ],
      "Resource": [
        "acs:log:*:*:project/exampleproject",
        "acs:log:*:*:project/exampleproject/logstore/examplelogstore"
      ]
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:RunInstances",
        "ecs:DescribeInstances",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:DescribeSecurityGroups"
      ],
      "Resource": ["*"]
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc:CreateVpc",
        "vpc:CreateVSwitch",
        "vpc:CreateSecurityGroup",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches"
      ],
      "Resource": ["*"]
    }
  ]
}

ポリシーサイズの最適化

カスタムポリシーの JSON コンテンツは 6,144 バイトを超えることはできません。この上限を超えると、CreatePolicy API は InvalidParameter.PolicyDocument.Length エラー (メッセージ："The policy document size is limited to 6144 bytes") を返します。次の方法を使用して、ポリシーの長さを短縮できます。

ポリシーのインポート

1. RAM 管理者として RAM コンソールにログインします。

2. 左側のナビゲーションペインで、権限管理 > ポリシー を選択します。

3. ポリシー ページで、ポリシーの作成 をクリックします。

4. ポリシーの作成 ページで、引用ポリシー をクリックします。

5. 引用ポリシー ダイアログボックスで、右上のドロップダウンリストからポリシーテンプレートまたは システムポリシー を選択し、ポリシーをインポートします。

   1. ポリシーテンプレートまたはシステムポリシーを選択します。

   2. 一部のポリシーテンプレートでは、ビジネス要件に基づいてパラメーターを設定する必要があります。

   3. インポートされたポリシーの上書きルールを選択します。

      デフォルトでは、新しくインポートされたポリシーの内容が既存の内容を完全に上書きします。上書きする代わりに、新しいステートメントを最後に追加する。 を選択して、新しくインポートされたポリシーの内容を既存の内容の末尾に追加することもできます。

   4. インポート をクリックします。

6. ビジュアルエディターまたはスクリプトエディターで、インポートされたポリシーの内容を表示および変更します。

7. ページの上部で 最適化 をクリックし、次に 行う をクリックして、ポリシーの高度な最適化を実行します。

   高度なポリシー最適化機能は、次のタスクを実行します。

   • 互換性のないアクションのリソースまたは条件を分割します。

   • リソースの範囲を絞り込みます。

   • 重複するステートメントを削除するか、ステートメントをマージします。

8. ポリシーの作成 ページで、OK をクリックします。

9. ポリシーの作成 ダイアログボックスで、ポリシー名 と 説明 を入力し、OK をクリックします。

よくある質問