マネージドセキュリティグループと、API 操作に関連する権限について学習します。 -

マネージドセキュリティグループは、サービスの可用性を確保するためにクラウドサービスシステムによって作成されます。複数のユーザーとチームでクラウドリソースが共有されるシナリオでは、マネージドセキュリティグループは、ユーザーの誤操作によって引き起こされる障害やセキュリティリスクを防ぐことができます。これにより、クラウドサービスの全体的な安定性とセキュリティが向上します。このトピックでは、マネージドセキュリティグループと、関連する API 操作の権限について説明します。

背景情報

マネージドモードで作成されたセキュリティグループは、マネージドセキュリティグループです。このモードは、ネットワークロードバランサー（NLB）やセキュアアクセスサービスエッジ（SASE）などのクラウドサービスにおけるセキュリティグループに対する操作の権限制御の問題を解決するために設計されています。マネージドセキュリティグループは、クラウドサービスシステムによって管理されます。マネージドセキュリティグループを表示することはできますが、操作を実行することはできません。次のセクションでは、マネージドセキュリティグループについて説明します。

説明

Alibaba Cloud サービスは、セキュリティトークンサービス（STS）を使用して、アカウントの Resource Access Management（RAM）ロールにマネージドセキュリティグループを作成する権限を付与します。 STS については、「STS とは」をご参照ください。

クラウドサービスコンソールでは、マネージドセキュリティグループに対する操作は実行できませんが、これらのセキュリティグループに関する情報を表示することはできます。
マネージドセキュリティグループにアクセスするには、クエリ API 操作のみを呼び出すことができます。マネージドセキュリティグループに対して操作を実行する API 操作を呼び出すと、InvalidOperation.ResourceManagedByCloudProduct エラーコードを含むエラーメッセージが表示されます。エラーメッセージは、セキュリティグループがクラウドサービスシステムによって管理されており、セキュリティグループに対して操作を実行できないことを示しています。権限については、このトピックの「マネージドセキュリティグループに関連する API 操作の権限」セクションをご参照ください。

DescribeSecurityGroups 操作を呼び出して、セキュリティグループの ServiceManaged パラメーター値が True であるかどうかを確認できます。また、[クラウドサービスによって管理されているセキュリティグループは変更できません] のようなエラーメッセージがサービスコンソールに表示されるかどうかも確認できます。表示される場合、セキュリティグループはマネージドセキュリティグループです。

マネージドセキュリティグループに関連する API 操作の権限

次の表で、× は操作がサポートされていないことを示し、√ は操作がサポートされていることを示します。

API 操作	説明	Alibaba Cloud アカウントによって呼び出すことができる	マネージドセキュリティグループを作成するクラウドサービスシステムによって呼び出すことができる
AuthorizeSecurityGroup	セキュリティグループにインバウンドルールを追加します。マネージドセキュリティグループを権限付与オブジェクトとして参照するインバウンドルールを追加します。	×	√
AuthorizeSecurityGroupEgress	セキュリティグループにアウトバウンドルールを追加します。マネージドセキュリティグループを権限付与オブジェクトとして参照するアウトバウンドルールを追加します。	×	√
RevokeSecurityGroup	セキュリティグループからインバウンドルールを削除します。	×	√
RevokeSecurityGroupEgress	セキュリティグループからアウトバウンドルールを削除します。	×	√
JoinSecurityGroup	セキュリティグループにリソースを追加します。	×	√
LeaveSecurityGroup	セキュリティグループからリソースを削除します。	×	√
DeleteSecurityGroup	セキュリティグループを削除します。	×	√
ModifySecurityGroupAttribute	セキュリティグループを変更します。	×	√
ModifySecurityGroupRule	セキュリティグループのインバウンドルールを変更します。	×	√
ModifySecurityGroupEgressRule	セキュリティグループのアウトバウンドルールを変更します。	×	√
ModifySecurityGroupPolicy	基本セキュリティグループの内部アクセス制御ポリシーを変更します。	×	√
DescribeSecurityGroupAttribute	セキュリティグループルールを照会します。	√	√
DescribeSecurityGroups	セキュリティグループを照会します。	√	√
DescribeSecurityGroupReferences	ルールがセキュリティグループを権限付与オブジェクトとして参照しているセキュリティグループを照会します。	√	√
CreateNetworkInterface	弾性ネットワークインターフェース（ENI）を作成します。	×	√
ModifyNetworkInterfaceAttribute	ENI を変更します。	×	√
RunInstances	一度に複数のインスタンスを作成します。	×	√
CreateInstance	インスタンスを作成します。	×	√
ModifyInstanceAttribute	インスタンスが属するセキュリティグループを変更します。	×	√