Enterprise Distributed Application Service:リソースグループを使用した権限の管理

EDAS プライマリアカウントとサブアカウントの管理システムと RAM の関係

EDAS は、互いに独立した以下の権限管理システムをサポートしています。

• EDAS が RAM と統合される前は、EDAS はプライマリアカウントとサブアカウントの管理システムを使用して、サブアカウントの権限を管理していました。

• EDAS が RAM と統合された後、EDAS はリソースグループを使用して RAM ユーザーの権限を管理します。

リソースグループの利点

次の例は、権限管理におけるリソースグループの利点を示しています。

会社 A には、deptA と deptB の 2 つの部門があります。 deptA は subA という名前の RAM ユーザーを使用して、clusterA という名前のクラスターと appA1 および appA2 という名前のアプリケーションを管理します。 deptB は subB という名前の RAM ユーザーを使用して、clusterB という名前のクラスターと appB1 および appB2 という名前のアプリケーションを管理します。

RAM を使用すると、ポリシーまたはリソースグループを使用して権限を管理できます。

制限事項

リソースグループは権限管理を容易にします。ただし、次の制限事項に注意する必要があります。

• マイクロサービス名前空間はリソースグループに追加できません。アプリケーションとクラスターのみをリソースグループに追加できます。マイクロサービス名前空間の権限を管理するには、RAM のみを使用できます。

• Application Configuration Management (ACM) と Application Real-Time Monitoring Service (ARMS) リソースは、リソースグループに追加できません。

手順

前の例を使用して、リソースグループを使用して権限を管理する方法を示します。

1. リソース管理コンソールにログオンし、groupA と groupB の 2 つのリソースグループを作成します。詳細については、「リソースグループの作成」をご参照ください。

2. クラスターとアプリケーションを groupA と groupB に追加します。詳細については、「リソースをリソースグループに転送する」をご参照ください。

3. RAM コンソールにログオンし、deptA 用の RAM ユーザー subA と deptB 用の RAM ユーザー subB を作成します。詳細については、「RAM ユーザーの作成」をご参照ください。

4. RAM コンソールで、groupA と groupB の subA と subB の両方にアタッチされるカスタムポリシーを作成します。詳細については、「カスタムポリシーの作成」をご参照ください。

   次のコードは、ポリシーの内容を示しています。

   {
       "Version": "1",
       "Statement": [    
         {
           "Effect": "Allow",
           "Action": [
                 "edas:*Cluster", // クラスターに対するすべてのアクションを許可します
               "edas:*Application" // アプリケーションに対するすべてのアクションを許可します
           ],
           "Resource": [
             "acs:edas:*:*:*"
           ]
         }
       ]
   }

5. リソース管理コンソールで、カスタムポリシーを subA と subB にアタッチします。詳細については、「RAM 認証の追加」をご参照ください。

6. オプション：groupA と groupB からリソースを削除するか、groupA と groupB にリソースを追加することで、リソースに対する権限を管理します。

7. オプション：カスタムポリシーを作成して、groupA に属さないリソースに対する権限を subA に付与します。この例では、マイクロサービス名前空間内のマイクロサービスを照会する権限が subA に付与されます。詳細については、「RAM ユーザーに権限を付与する」をご参照ください。

   説明

   subA がマイクロサービス名前空間を指定してマイクロサービスを照会すると、groupA に対する AliyunEDASFullAccess 権限が subA に付与されている場合でも、権限が不十分なためエラーが返されます。これは、マイクロサービス名前空間をリソースグループに追加できず、マイクロサービス名前空間に対する権限を subA に付与する必要があるためです。

   次のコードは、ポリシーの内容を示しています。

   {
      "Version": "1",
      "Statement": [
        {
          "Action": ["edas:ReadService"], // マイクロサービスの読み取りを許可します
          "Resource": ["acs:edas:$regionid:*:namespace/$namespace"],
          "Effect": "Allow"
         }
      ]
    }

   [クラスター管理]、[アプリケーション管理]、および[アプリケーションベースのマイクロサービス管理]に加えて、「ポリシーの詳細」で説明されている権限も subA に付与する必要があります。

結果の確認

上記の手順を実行した後、RAM ユーザーに指定された権限が付与されているかどうかを確認します。