Enterprise Distributed Application Service:概要

EDAS定義の権限とRAMポリシー

EDAS は権限管理システムを使用して開発されており、Resource Access Management (RAM) とも統合されています。

• RAM を使用して権限を管理する方法の詳細については、「概要」をご参照ください。

• EDAS定義の権限の詳細については、「EDAS定義の権限の管理 (非推奨)」をご参照ください。

EDAS を含むAlibaba Cloud サービスの権限を同じシステムで管理するには、RAM を使用することをお勧めします。 EDAS では、EDAS定義の権限をRAMポリシーに置き換えることもできます。 詳細については、「EDAS定義の権限をRAMポリシーに置き換える」をご参照ください。

EDAS は、EDAS定義の権限とRAMポリシーの両方をサポートしています。 サブアカウントとRAMユーザーは、次のルールを使用して管理されます。

• RAMユーザーのアクセスは、EDAS定義の権限ではなく、RAMポリシーによって制御されます。

• サブアカウントの場合：

  • AliyunEDASFullAccess 権限が付与されているサブアカウントのアクセスは、EDAS定義の権限ではなく、RAMポリシーによって制御されます。

  • EDAS定義の権限によって規制されているサブアカウントをRAMユーザーに切り替えることをお勧めします。 詳細については、「EDAS定義の権限をRAMポリシーに置き換える」をご参照ください。 サブアカウントをRAMユーザーに切り替えない場合は、引き続きEDAS定義の権限を使用してサブアカウントのアクセスを制御できます。

RAMの利点

RAM は、Alibaba Cloud によって提供されるリソースアクセス制御サービスです。 ポリシー を使用して、従業員、システム、アプリケーションなどのRAMユーザーのアクセスを制御し、リソースに対する特定の権限をRAMユーザーに付与できます。 たとえば、EDASアプリケーションに対する読み取り専用権限をRAMユーザーに付与できます。

よりきめ細かいアクセス制御

より多くの構文タイプ

RAMポリシーは、EDAS定義の権限よりも多くの構文タイプをサポートしています。 たとえば、権限ステートメントでワイルドカード文字を使用したり、複数のポリシーをRAMユーザーにアタッチしてアクセス制御を正確に規制したりできます。

次の例は、RAMポリシーの構文を示しています。

{
    "Statement": [
      {
        "Action": [
          "edas:ReadApplication" // アプリケーションの読み取り
        ],
        "Effect": "Allow",
        "Resource": ["acs:edas:*:*:namespace/*/application/*"]
      },
      {
        "Action": [
          "edas:ReadApplication" // アプリケーションの読み取り
        ],
        "Effect": "Deny",
        "Resource": ["acs:edas:cn-beijing:*:namespace/*/application/12345678"]
      }
    ],
    "Version": "1"
}

上記のポリシーには2つのステートメントが含まれています。

• 最初のステートメントでは、effect は Allow に設定され、action は edas:ReadApplication に設定されています。これは、RAMユーザーが アプリケーションを表示 できるようにし、resource はワイルドカード文字 (*) に設定されています。これは すべてのアプリケーション を指定します。 このステートメントは、RAMユーザーがすべてのEDASアプリケーションを表示できることを指定します。

• 2番目のステートメントでは、effect は Deny に設定され、resource は 12345678 に設定されています。これは、ID が 12345678 のアプリケーションを指定します。 このステートメントは、RAMユーザーが ID が 12345678 のアプリケーションを表示できないことを指定します。

したがって、上記のステートメントを含むポリシーは、RAMユーザーが ID が 12345678 のアプリケーション以外のすべてのアプリケーションを表示できることを指定します。

条件式を使用してポリシーを定義することもできます。 詳細については、「ポリシーの概要」をご参照ください。

EDAS定義の権限とRAMポリシーの関係

EDAS定義の権限はRAMポリシーと同等ではありません。 したがって、EDAS定義の権限をRAMポリシーに直接変更することはできません。 EDAS では、EDAS定義の権限をRAMポリシーに置き換えることができ、ほとんどの場合、EDAS定義の権限を継承できます。 デフォルトでは、サブアカウントがアプリケーションやクラスターなどのEDASリソースに対して特定の操作を実行できるかどうかを定義する権限は、サブアカウントが切り替えられるRAMユーザーによって継承されます。