Enterprise Distributed Application Service:タグを使用してリソースへのアクセス制御を実装する

タグを含むカスタムポリシーを作成する

1. 管理権限を持つ RAM ユーザーとして RAM コンソール にログオンします。

2. 左側のナビゲーションペインで、[権限] > [ポリシー] を選択します。

3. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   

4. [ポリシーの作成] ページで、[JSON] タブをクリックします。

   

5. コードエディターで、カスタムポリシーを入力し、[ポリシー情報の編集に進む] をクリックします。

   次の例は、上記の要件を満たすポリシーの 3 つのコードブロックを示しています。

   • ユーザー 1 に、開発環境とテスト環境のすべてのアプリケーションを管理する権限を付与します。

     {
       "Statement": [
         {
           "Action": "edas:ManageApplication",
           "Effect": "Allow",
           "Resource": "*",
           "Condition": {
             "StringEquals": {
               "edas:tag/Environment": ["DEV", "TEST"] // 環境を指定
             }
           }
         }
       ],
       "Version": "1"
     }

   • ユーザー 2 に、テスト環境のプロジェクト 1 のすべてのアプリケーションを管理する権限を付与します。

     {
       "Statement": [
         {
           "Action": "edas:ManageApplication",
           "Effect": "Allow",
           "Resource": "*",
           "Condition": {
             "StringEquals": {
               "edas:tag/Team": ["team1"],          // チームを指定
               "edas:tag/Environment": ["TEST"] // 環境を指定
             }
           }
         }
       ],
       "Version": "1"
     }

   • ユーザー 3 に、本番環境のアプリケーションを除くすべてのアプリケーションを管理する権限を付与します。

     {
       "Statement": [
         {
           "Action": "edas:ReadApplication",
           "Effect": "Allow",
           "Resource": "*"
         },
         {
           "Action": "edas:ReadApplication",
           "Effect": "Deny",
           "Resource": "*",
           "Condition": {
             "StringEquals": {
               "edas:tag/Environment": ["PROD"] // 環境を指定
             }
           }
         }
       ],
       "Version": "1"
     }

6. ポリシーの [名前] と [説明] パラメーターを構成し、[ポリシードキュメント] セクションでポリシーの内容を確認し、[OK] をクリックします。

   カスタムポリシーが作成されると、ポリシーはポリシーリストに表示されます。

カスタムポリシーを RAM ユーザーにアタッチする

1. Alibaba Cloud アカウントで RAM コンソール にログオンします。

2. 左側のナビゲーションペインで、[ID] > [ユーザー] を選択します。

3. [ユーザー] ページで、管理する RAM ユーザーを見つけ、権限の追加[アクション] 列の をクリックします。

4. [権限の追加] パネルで、[alibaba Cloudアカウント] を [承認スコープ] として選択します。

5. [権限の追加] パネルの カスタム ポリシー[ポリシーの選択] セクションで、OK をクリックします。次に、作成したカスタムポリシーを検索し、ポリシーを選択して、 をクリックします。

   

6. [権限の追加] パネルで、認可情報を確認し、[完了] をクリックします。

RAM ユーザーとしてリソースにアクセスする

RAM ユーザーとして EDAS コンソールにログオンし、期待どおりにリソースにアクセスできるかどうかを確認します。