Elastic Compute Service:RAM ユーザーが ECS インスタンスにパブリック IP アドレスを割り当てることを禁止する

本記事では、Alice という名前の RAM ユーザーが ECS インスタンスに固定パブリック IP アドレスを割り当てたり、EIP を作成したりすることを禁止する設定例を解説します。

1. RAM コンソール で、Alice という名前の RAM ユーザーを作成します。

   詳細については、「RAM ユーザーを作成する」をご参照ください。

2. RAM コンソール で、ecs-network-control という名前のポリシーを作成します。 [Create Policy]ページで、[JSON] タブをクリックし、コードエディタ内に下記のコードを貼り付け、 [はい] をクリックします。

   説明

   下記のコードで作成されるポリシーは以下のことを禁止します。

   • ECS インスタンスの作成中に固定パブリック IP アドレスを割り当てる

   • リソース構成の変更中にパブリック帯域幅のピーク値を 0 Mbit/s より大きい値に設定することで、ECS インスタンスの固定パブリック IP アドレスを生成する

   • EIP を作成する

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Deny",
               "Action": [
                   "ecs:RunInstances",
                   "ecs:CreateInstance",
                   "ecs:ModifyInstanceSpec",
                   "ecs:ModifyInstanceNetworkSpec"
               ],
               "Resource": "*",
               "Condition": {
                   "Bool": {
                       "ecs:AssociatePublicIpAddress": [
                           "true"
                       ]
                   }
               }
           },
           {
               "Effect": "Deny",
               "Action": [
                   "vpc:AllocateEipAddress",
                   "vpc:AllocateEipAddressPro",
                   "vpc:AssociateEipAddress",
                   "vpc:AllocateEipSegmentAddress",
                   "eipanycast:AllocateAnycastEipAddress"
               ],
               "Resource": "*"
           }
       ]
   }

3. 続いて、ecs-admin という名前のポリシーを作成します。 [Create Polic] ページで、[JSON] タブをクリックし、コードエディタ内に下記のコードを貼り付け、 [はい] をクリックします。

   説明

   下記のコードで作成されるポリシーは、ECS インスタンスを購入、管理、表示する権限を付与します。この例では、ECS 管理者として必要に応じてポリシーを変更することもできます。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "ecs:*",
           "ecs-workbench:*",
           "vpc:CheckCanAllocateVpcPrivateIpAddress",
           "vpc:DescribeVpcs",
           "vpc:DescribeVSwitches",
           "bss:ModifyAgreementRecord",
           "bss:DescribeOrderList",
           "bss:DescribeOrderDetail",
           "bss:PayOrder",
           "bss:CancelOrder"
         ],
         "Resource": "*"
       }
     ]
   }

4. RAM コンソール で、Alice に権限を付与します。

   [リソース範囲 (Resourece Scope)] に [アカウント (account)] を、[ユーザー (Principal)] に Alice 、 [ポリシー (Policy)] に、前の手順で作成した ecs-network-control および ecs-admin ポリシーを選択して、 [権限付与 (Grant permissions)] をクリックします。詳細については、「RAM ユーザーに権限を付与する」をご参照ください。

   

Alice として Alibaba Cloud 管理コンソール にログインします。

詳細については、「RAM ユーザーとして Alibaba Cloud 管理コンソールにログインする」をご参照ください。