複数の RAM ユーザーが Enterprise Distributed Application Service (EDAS) アカウントを共有する場合、各ユーザーは通常、リソースの一部サブセットにのみアクセスする必要があります。リスト認証は、EDAS コンソール内のドロップダウンリストおよびリストページをフィルター処理し、各 Resource Access Management (RAM) ユーザーが読み取り権限を持つリソースのみを表示します。この機能は、アプリケーションリスト、クラスターリスト、マイクロサービス名前空間リストに適用されます。
リスト認証はデフォルトで有効になっています。権限に関係なくすべての RAM ユーザーにすべてのリソースを表示するには、リスト認証を無効化できます。
仕組み
RAM ユーザーが EDAS コンソールでリストビューまたはドロップダウンを開くと、EDAS はユーザーの RAM 権限を確認し、許可されたリソースのみを返します。以下のシナリオでリスト認証が使用されます。
アプリケーション作成時にマイクロサービス名前空間およびクラスターを選択する
クラスター作成時にマイクロサービス名前空間を選択する
マイクロサービスの表示時にマイクロサービス名前空間を選択する
SchedulerX モジュールでマイクロサービス名前空間を選択する
リスト認証とリソース権限付与の違い
EDAS では、アクセスの制御が次の 2 つの独立したレイヤーで実施されます。
| レイヤー | コントロール | リスト認証を無効化した場合の効果 |
|---|---|---|
| リスト認証 | ドロップダウンリストおよびリストページに表示されるリソース | すべてのリソースがリストに表示されるようになる |
| リソース権限付与 | RAM ユーザーが特定のリソースに対して実行できる操作 | 変更なし。必要な権限を持たない RAM ユーザーは、引き続きリソースの詳細ページを開くことができない |
リスト認証を無効化しても、リストレベルの表示フィルターが削除されるだけであり、基盤となるリソース権限付与は引き続き有効です。
権限リファレンス
以下の RAM 権限により、リスト内のリソースの表示が制御されます。
| リソースタイプ | RAM 権限 | 効果 |
|---|---|---|
| マイクロサービス名前空間 | edas:ReadNamespace | 名前空間リストおよびドロップダウンに表示される |
| クラスター | edas:ReadCluster | クラスターリストおよびドロップダウンに表示される |
| アプリケーション | edas:ReadApplication | アプリケーションリストに表示される |
RAM ユーザーがリソースに対する読み取り権限を持っている場合、そのリソースは対応するリストに表示されます。
リソース階層と権限の依存関係
EDAS のリソースは親子階層に従います。
Microservices namespace
└── Cluster
└── Application権限は階層間で継承されません。権限を付与する際は、この階層構造を考慮してください。
| 対象リソース | 同時に付与すべき権限 | 理由 |
|---|---|---|
| アプリケーション | edas:ReadNamespace（親名前空間に対して）および edas:ReadCluster（親クラスターに対して） | RAM ユーザーは、アプリケーションに到達するために、名前空間およびクラスタードロップダウンをたどる必要があります。 |
| クラスター | edas:ReadNamespace（親名前空間に対して） | RAM ユーザーは、クラスターを検索するために名前空間を選択する必要があります。 |
アプリケーションに対して edas:ReadApplication を持つが、親名前空間に対して edas:ReadNamespace を持たない RAM ユーザーでも、アプリケーションを見つけることは可能です。アプリケーション ページで、マイクロサービス名前空間 ドロップダウンリストから すべてのマイクロサービス名前空間 を選択してください。
ベストプラクティス
RAM ポリシーでワイルドカードを使用する。 RAM ポリシーの長さには制限があります。個別のリソースを列挙する代わりに、複数のリソースにわたる権限を定義するためにワイルドカードを使用してください。EDAS 権限アシスタントを使用すると、このプロセスが簡素化されます。詳細については、「EDAS 権限アシスタントを使用して RAM ポリシーを作成する」をご参照ください。
大規模管理にはリソースグループを使用する。 多数のクラスターやアプリケーションを管理する場合は、権限の割り当てを簡素化するためにリソースグループに整理してください。詳細については、「リソースグループを使用して権限を管理する」をご参照ください。
リソースグループに追加できるのはアプリケーションおよびクラスターのみです。マイクロサービス名前空間の権限は、RAM ポリシーを通じて直接管理してください。
リスト認証の無効化
リスト認証はデフォルトで有効になっています。無効化するには、次の手順を実行します。
EDAS コンソール にログインします。
左側のナビゲーションウィンドウで、システム管理 > RAM ユーザー を選択します。
RAM ユーザー ページの右上隅にある リスト認証方式の切り替え をクリックします。
ダイアログボックスで、認証なし を選択し、OK をクリックします。
リスト認証を無効化すると、約 1 分の遅延が発生します。ステップ 4 を完了したら、1 分ほど待ってからページをリフレッシュし、リスト認証が無効化されていることを確認してください。
トラブルシューティング
アプリケーションがアプリケーションリストに表示されない
原因： RAM ユーザーはアプリケーションに対して edas:ReadApplication を持っていますが、親マイクロサービス名前空間に対して edas:ReadNamespace を持っていません。ドロップダウンフィルターで特定の名前空間が選択されている場合、名前空間自体が表示されないため、アプリケーションも非表示になります。
解決策： アプリケーション ページで、マイクロサービス名前空間 ドロップダウンリストから すべてのマイクロサービス名前空間 を選択してください。これにより、フィルターされていないリストにアプリケーションが表示されます。この問題を回避するには、RAM ユーザーに親名前空間に対する edas:ReadNamespace を付与してください。
リスト認証を無効化した後も有効なままになっている
原因： リスト認証を無効化すると、約 1 分の遅延が発生します。
解決策： リスト認証を無効化した後、1 分ほど待ってからページをリフレッシュしてください。
リスト認証を無効化した後も RAM ユーザーがリソースの詳細ページを開けない
原因： リスト認証を無効化しても、リストレベルの表示フィルターが削除されるだけであり、リソース権限付与は引き続き有効です。RAM ユーザーがリソースに対して必要な権限を持っていない場合、リスト認証の設定に関係なく、そのリソースの詳細ページへのアクセスは拒否されます。
解決策： RAM ポリシーを通じて、RAM ユーザーにリソースに対する適切な権限を付与してください。