複数の Alibaba Cloud アカウントのデータベース資産の一元管理 - Data Security Center

制限事項

DSC の有料版のみがマルチアカウント管理をサポートしています。
すべてのアカウントは、同じリソースディレクトリと企業エンティティに属している必要があります。その企業は、企業実名認証を完了している必要があります。
別のアカウントは、すでに DSC を購入しているメンバーを DSC メンバーとして追加できません。
DSC メンバーとして追加されたアカウントは、独立して DSC を購入または使用することはできません。
DSC メンバーのデータ資産は、トラフィック収集 (エージェント) モードをサポートしていません。
DSC メンバーの AnalyticDB for PostgreSQL 資産は、DSC の機能ではサポートされていません。

基本概念

用語	説明	サービス
管理アカウント	企業実名認証を完了した Alibaba Cloud アカウントです。このアカウントを使用してリソースディレクトリを有効にすると、管理アカウントとなり、リソースディレクトリのスーパー管理者として機能し、すべてのフォルダーとメンバーに対する完全な権限を持ちます。各リソースディレクトリには、管理アカウントが 1 つだけ存在します。	Resource Management
ルートフォルダー	リソースディレクトリ内の最上位フォルダーです。他のすべてのフォルダーは、その下に階層的に整理されます。
フォルダー	リソースディレクトリ内の組織単位で、通常は事業単位、支店、またはプロジェクトを表します。フォルダーにはメンバーとサブフォルダーを含めることができ、ツリー構造を形成します。
メンバー	リソースディレクトリに属するアカウントです。ディレクトリ内で作成されたメンバーはリソースアカウントになります。招待を承諾して参加した既存の Alibaba Cloud アカウントはクラウドアカウントになります。
委任された管理者アカウント	管理アカウントが、リソースディレクトリ内で信頼されたサービス (DSC など) を管理するために指定するメンバーです。委任された管理者アカウントは、ディレクトリ構造とメンバーを表示し、ディレクトリ内のすべてのサービス操作を管理できます。
DSC のメンバー	委任された管理者アカウントが DSC に追加するリソースディレクトリ内のメンバーです。追加されると、委任された管理者アカウントは DSC でメンバーのクラウドアセットにアクセスして管理できます。	DSC

管理アカウントはリソースディレクトリ自体に属しておらず、そのアクセス制御ポリシーの対象にはなりません。

仕組み

次のシナリオは、完全なマルチアカウント設定を示しています。

シナリオ：アカウント A、B、C、D、E は同じリソースディレクトリに属しています。アカウント A は管理アカウントです。アカウント A はアカウント B を DSC の委任された管理者アカウントとして指定します。その後、アカウント B はアカウント B、C、D、E のデータ資産を一元的に管理し、機密データ保護、ベースラインチェック、データ監査、データマスキングなどの DSC 機能を使用できます。アカウント B の RAM ユーザーは、アカウント D と E の資産のみを管理するように設定できます。

この設定には 3 つのステップが含まれます。

管理アカウントを使用して、メンバーを DSC の委任された管理者アカウントとして指定します。
委任された管理者アカウントを使用して、管理したいメンバーを DSC に追加します。
DSC コンソールからこれらのメンバーの資産を管理します。

委任された管理者アカウントの選択

開始する前に、どのメンバーアカウントを委任された管理者アカウントとして指定するかを決定します。

リソースディレクトリを有効にするときは、リソースのない Alibaba Cloud アカウントを管理アカウントとして使用することを推奨します。管理アカウント用に RAM (Resource Access Management) ユーザーを作成し、AliyunResourceDirectoryFullAccess ポリシーを RAM ユーザーにアタッチします。その後、管理アカウントのルート認証情報を直接使用するのではなく、RAM ユーザーを使用してリソースディレクトリを管理します。

ステップ 1 を完了する前に、委任された管理者アカウントとして指定するアカウントで、DSC の有料版を購入しておく必要があります。

注意事項

カテゴリ	詳細
マルチアカウント検証	すべてのアカウントが、同じリソースディレクトリと企業エンティティに属している必要があります。その企業は、企業実名認証を完了している必要があります。
DSC の購入	委任された管理者アカウントとして指定されたアカウントを使用して DSC を購入します。DSC メンバーとして追加されたアカウントは、独立して DSC を購入または使用することはできません。
レベル別のメンバー管理	委任された管理者アカウントは、RAM ユーザーを作成し、リソースディレクトリ内の特定のメンバーまたはフォルダーを対象としたきめ細かい権限を割り当てることができます。詳細については、「特定のメンバーを管理するための RAM ユーザーへの権限付与」をご参照ください。
機能の制限	DSC メンバーのデータ資産は、トラフィック収集 (エージェント) モードをサポートしていません。メンバーの AnalyticDB for PostgreSQL 資産はサポートされていません。
メンバー料金	メンバーの資産に対してデータ識別機能とセキュリティ監査機能が有効になっている場合、そのメンバーは特定のデータベースサービスでのデータ読み取りと監査ログストレージの料金を支払います。詳細については、「DSC に接続されたデータベース資産の追加料金」をご参照ください。

前提条件

開始する前に、次のことを確認してください。

リソースディレクトリが有効になっていること。詳細については、「リソースディレクトリの有効化」をご参照ください。
リソースディレクトリに少なくとも 1 つのメンバーが存在すること。このメンバーは、新しく作成されたメンバーか、招待を承諾して参加した既存の Alibaba Cloud アカウントのいずれかです。詳細については、「メンバーの作成」および「リソースディレクトリへのAlibaba Cloudアカウントの招待」をご参照ください。
RAM ユーザーを使用してフォルダーごとにメンバーを管理する予定の場合は、まず必要なリソースフォルダーを作成し、そこにアカウントを追加または招待します。詳細については、「フォルダーの作成」をご参照ください。
委任された管理者アカウントとして指定されたアカウントが DSC の有料版を購入していること。詳細については、「DSC の購入」をご参照ください。

ステップ 1：DSC の委任された管理者アカウントの設定

管理アカウントを使用して、メンバーを DSC の委任された管理者アカウントとして指定します。これにより、指定されたメンバーはリソースディレクトリの構造とメンバーにアクセスし、ディレクトリ全体のすべての DSC 操作を管理できるようになります。

管理アカウントを使用して Resource Management コンソールにログインします。
左側のナビゲーションペインで、[Resource Directory] > [Trusted Services] を選択します。
[Trusted Services] ページで、[Data Security Center (DSC)] を見つけ、[Actions] 列の [Manage] をクリックします。
[Delegated Administrator Accounts] セクションで、[Add] をクリックします。
[Add Delegated Administrator Account] パネルで、DSC を購入した Alibaba Cloud アカウントを委任された管理者アカウントとして選択し、[OK] をクリックします。

[OK] をクリックすると、指定されたメンバーが DSC の委任された管理者アカウントとして設定されます。以降は、委任された管理者アカウントを使用して設定を続行します。

ステップ 2：DSC でのメンバーの追加

特定のメンバーを管理するための RAM ユーザーへの権限付与

RAM ユーザーではなく、委任された管理者アカウントを直接使用してメンバーを追加および管理する場合は、このセクションをスキップしてください。

RAM ユーザーに特定のメンバーまたはフォルダーに対するきめ細かい制御権限を付与するには、RAM ユーザーの追加および削除操作を許可されたスコープに制限するカスタム拒否ポリシーを作成します。

委任された管理者アカウントを使用して RAM コンソールにログインし、RAM ユーザーを作成します。詳細については、「RAM ユーザーの作成」をご参照ください。
RAM コンソールの左側のナビゲーションペインで、[Permissions] > [Policies] を選択します。
[Policies] ページで、[Create Policy] をクリックします。
[Create Policy] ページで、[JSON] タブをクリックし、カスタムポリシーのコンテンツを入力します。このポリシーは、メンバーの追加 (yundun-sddp:AddMultiAccountMembers) とメンバーの削除 (yundun-sddp:DeleteMultiAccountMembers) の 2 つのアクションを制御します。acs:RDManageScope 条件キーを使用してアクセス範囲を限定します。次のパターンのいずれかを選択します。特定のメンバーを管理するための RAM ユーザーへの権限付与 StringNotEquals 条件の acs:RDManageScope を、フォルダーのリソースディレクトリパス (RDPath) とメンバーの UID を組み合わせたものに設定します。RDPath はリソースディレクトリページで確認できます。
```
{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "yundun-sddp:AddMultiAccountMembers",
                "yundun-sddp:DeleteMultiAccountMembers"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "acs:RDManageScope": [
                        "rd-BXXXXs/r-cXXXX6/163XXXXXX1494597"
                    ]
                }
            }
        }
    ]
}
```
特定のフォルダー内のすべてのメンバーを管理するための RAM ユーザーへの権限付与 StringNotLike 条件の acs:RDManageScope を、必要なフォルダーの RDPath の後に /* を付けたものに設定します。
```
{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "yundun-sddp:AddMultiAccountMembers",
                "yundun-sddp:DeleteMultiAccountMembers"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotLike": {
                    "acs:RDManageScope": [
                        "rd-BXXXXs/r-cXXXX6/fd-BrXXXXXXM4/*"
                    ]
                }
            }
        }
    ]
}
```
完全なポリシー構文のリファレンスについては、「ポリシーの構造と構文」をご参照ください。
[OK] をクリックします。
[Create Policy] ダイアログボックスで、[Name] フィールドと [Description] フィールドを設定し、[OK] をクリックします。
[Grant Permission] をクリックします。
[Grant Permission] ページで、RAM ユーザーを検索して選択し、作成したカスタムポリシーを選択して [Grant permissions] をクリックし、[Close] をクリックします。

メンバーの追加

委任された管理者アカウントまたは権限を付与された RAM ユーザーを使用して DSC コンソールにログインします。
左側のナビゲーションペインで、[Multi-account Management] をクリックします。
この機能を初めて使用する場合は、[Enable Multi-account Management] をクリックします。この操作により、信頼されたサービス DSC のステータスが有効に更新されます。
[Add Member] をクリックします。
[Add Member] ダイアログボックスで、管理するメンバーを選択し、[OK] をクリックします。選択したメンバーが RAM ユーザーのポリシーの範囲外である場合、システムから [no permission] というメッセージが返されます。

メンバーが追加されると、委任された管理者アカウントは DSC コンソールからそのメンバーのクラウドアセットにアクセスして管理できます。

ステップ 3：メンバーの資産の管理

[Asset Center] ページを使用して、すべてのメンバーアカウントの資産に対する権限付与と管理を行います。

UID ベースの資産管理はすべてのページで利用できるわけではありません。たとえば、[Overview] ページはこの機能をサポートしていません。メンバー資産の操作には [Asset Center] ページを使用してください。

DSC コンソールにログインします。
左側のナビゲーションペインで、[Asset Center] をクリックします。
[Authorization Management] タブで、UID を使用して各 Alibaba Cloud アカウント内の資産を管理します。

DSC からのメンバーの削除

DSC からメンバーを削除すると、そのメンバーのすべてのデータが DSC コンソールから完全に削除されます。メンバーを削除する前に、予期せずアクセスレコードが失われるのを防ぐため、その資産の権限を取り消してください。

警告

この操作は元に戻せません。メンバーを削除すると、DSC コンソール内のそのメンバーのすべてのデータが自動的に削除されます。

DSC コンソールにログインします。
左側のナビゲーションペインで、[Asset Center] をクリックします。
メンバーの資産から権限を取り消します。詳細については、「資産から権限を取り消す」をご参照ください。
左側のナビゲーションペインで、[System Settings] > [Multi-account Management] を選択します。
[Multi-account Management] ページで、メンバーを見つけ、[Actions] 列の [Delete] をクリックします。メンバーが RAM ユーザーのポリシーの範囲外である場合、システムから [no permission] というメッセージが返されます。
確認ダイアログボックスで、[Delete] をクリックします。

よくある質問

組織内の複数のアカウントがすでに DSC を購入しています。これらを 1 つのアカウントに統合するにはどうすればよいですか？

アカウントがすでに DSC を購入している場合、別のアカウントはそのアカウントを DSC メンバーとして管理できません。統合するには、まず各アカウントで DSC の登録を解除し、その後、委任された管理者アカウントを使用してそれらのアカウントを DSC メンバーとして追加します。登録解除の詳細については、「返金ポリシー」をご参照ください。

アカウントで DSC を有効化できません。どうすればよいですか？

DSC コンソールにアクセスした際に、現在のアカウントで DSC を有効化できないというメッセージが表示される場合、管理アカウントまたは委任された管理者アカウントがすでにこのアカウントを DSC メンバーとして追加しています。これを解決するには、次のいずれかのアプローチを使用します。

マルチアカウント管理の使用：管理アカウントまたは委任された管理者アカウントを使用して DSC コンソールにログインし、マルチアカウント管理機能を通じてこのアカウントの資産を管理します。
アカウントの削除と DSC の単独使用: 管理アカウントまたは委任管理者アカウントに連絡して、このアカウントを [複数アカウント管理][複数アカウント管理] ページから削除してください。削除後、このアカウントを使用して DSC を単独で購入して有効化できます。

Data Security Center:マルチアカウント管理機能の使用