RAMユーザーにDCDNのアクティブ化と設定の変更を許可する方法の例 -

デフォルトでは、新しいRAM (Resource Access Management) ユーザーには、Alibaba Cloud Dynamic Content Delivery Network (DCDN) を有効化したり、DCDNの計測方法を変更したりする権限がありません。 DCDNを有効化する場合、またはDCDNの計測方法を変更する場合は、RAMコンソールにログインし、RAMユーザーに権限を付与する必要があります。

前提条件

RAM ユーザーを作成します。 RAMユーザーを作成していない場合は、「RAM ユーザーの作成」の手順に従ってRAMユーザーを作成します。

背景情報

RAMは、ユーザーIDとリソースアクセス権限を管理するために使用されるAlibaba Cloudサービスです。 RAMは、システムおよびカスタムポリシーをサポートします。システムポリシーを使用して、DCDNに対する完全な権限 (サービスのアクティブ化と構成の変更を含む) をRAMユーザーに付与できます。カスタムポリシーを使用して、RAMユーザーにDCDNをアクティブ化または設定を変更する権限、またはDCDNをアクティブ化および設定を変更する権限を付与できます。

システムポリシー
システムポリシーは、Alibaba Cloudによって設定および提供されます。システムポリシーは変更できません。システムポリシーは、DCDNに対する完全な権限 (サービスのアクティブ化と構成の変更を含む) をRAMユーザーに付与します。システムポリシーを使用してRAMユーザーに権限を付与するには、わずかな手順で済みます。
カスタムポリシー
カスタムポリシーを作成または変更して、詳細な権限制御を実装できます。たとえば、カスタムポリシーを使用して、RAMユーザーにDCDNのアクティブ化または設定の変更権限を付与したり、DCDNのアクティブ化および設定の変更権限を付与したりできます。

権限スコープ

次の表に、RAMユーザーに付与できる権限のスコープを示します。たとえば、RAMユーザーにDCDNをアクティブ化したり、設定を変更したりする権限を付与できます。

説明

このトピックでは、設定の変更とは、計測方法の変更を指します。

権限	説明	関連ドキュメント
完全な権限 (サービスの有効化と構成の変更を含む)	キャッシュポリシーやback-to-origin設定の設定、DCDNの有効化、計測方法の変更など、DCDNに対する完全な権限。	例1: RAMユーザーへのシステムポリシーのアタッチ (サービスのアクティブ化と構成の変更を含む)
完全な権限 (サービスの有効化を除く)	キャッシュポリシーやback-to-origin設定を設定したり、計測方法を変更したりするための権限など、DCDNに対する完全な権限。 DCDNを有効化する権限は除外されます。	例2: RAMユーザーへのカスタムポリシーのアタッチ (サービスのアクティブ化または構成の変更を含む)
フル権限 (構成変更を除く)	キャッシュポリシーとback-to-origin設定を構成し、DCDNを有効化するための権限など、DCDNに対する完全な権限。計測方法を変更する権限は除外されます。
サービスの有効化権限のみ	DCDNを有効化する権限のみ。
構成変更権限のみ	メータリング方法を変更する権限のみ。
サービスの有効化と構成変更権限のみ	DCDNを有効化し、計測方法を変更する権限のみ。	例3: RAMユーザーにカスタムポリシーをアタッチする (サービスのアクティブ化と構成の変更のみ)
完全な権限 (サービスの有効化と設定の変更を除く)	キャッシュポリシーやback-to-origin設定を構成するための権限など、DCDNに対する完全な権限。 DCDNを有効にして計測方法を変更する権限は除外されます。	例4: RAMユーザーへのカスタムポリシーのアタッチ (サービスのアクティブ化と構成の変更を除く)

例1: システムポリシーをRAMユーザーにアタッチする (サービスのアクティブ化と構成の変更を含む)

にログインします。RAMコンソール.
左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択します。
On theユーザーページで必要なRAMユーザーを見つけ、権限の追加で、アクション列を作成します。
複数のRAMユーザーを選択し、ページ下部の [権限の追加] をクリックして、RAMユーザーに一度に権限を付与することもできます。
[権限の追加] パネルで、必要なパラメーターを設定します。
1. [許可されたスコープ] セクションで、アカウント.
  説明
  RAMユーザーにDCDNをアクティブ化して設定を変更する権限を付与する場合は、RAMユーザーが属するAlibaba Cloudアカウントに権限を付与する必要があります。 ResourceGroupを選択した場合、DCDNをアクティブ化して設定を変更する権限はRAMユーザーには有効になりません。
2. 選択システムポリシー.
3. 検索ボックスにDCDNと入力します。 DCDNに関連するすべてのシステムポリシーが表示されます。
4. クリックAliyunDCDNFullAccessにポリシーを追加します。選択済みリストを作成します。
[権限付与] をクリックします。
[閉じる] をクリックします。

例2: カスタムポリシーをRAMユーザーにアタッチする (サービスのアクティブ化または構成の変更を含む)

カスタムポリシーを作成します。

にログインします。RAMコンソール.
左側のナビゲーションウィンドウで、権限 > ポリシー.
クリックポリシーの作成.

をクリックし、JSONタブでカスタムポリシーを設定します。

次のコードブロックは、カスタムポリシーの内容を示しています。

完全な権限 (サービスの有効化を除く)

{
    "Version": "1",
    "Statement": [
        {
            "Action": "dcdn:*",
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "dcdn:OpenDcdnService"
            ],
            "Resource": "*",
            "Effect": "Deny"
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "logdelivery.dcdn.aliyuncs.com"
                    ]
                }
            }
        }
    ]
}

フル権限 (構成変更を除く)

{
    "Version": "1",
    "Statement": [
        {
            "Action": "dcdn:*",
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "dcdn:ModifyDcdnService"
            ],
            "Resource": "*",
            "Effect": "Deny"
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "logdelivery.dcdn.aliyuncs.com"
                    ]
                }
            }
        }
    ]
}

サービスの有効化権限のみ

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dcdn:OpenDcdnService"
            ],
            "Resource": "*"
        }
    ],
    "Version": "1"
}

構成変更権限のみ

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dcdn:ModifyDcdnService"
            ],
            "Resource": "*"
        }
    ],
    "Version": "1"
}

[OK] をクリックします。表示されるページで、ポリシーの [名前] パラメーターと [説明] パラメーターを設定します。

パラメーター	説明
名前	カスタムポリシーの名前を入力します。この例では、`AliyunDcdntest`が使用されています。
説明	カスタムポリシーの説明を入力します。このパラメーターはオプションです。

カスタムポリシーの内容を確認して最適化します。
- オプション: 高度な最適化
  [オプションの詳細最適化] にポインターを移動し、[実行] をクリックします。システムは、高度な最適化中に次の操作を実行します。
  - 操作と互換性のないリソースまたは条件が分割されます。
  - リソースの数を減らします。
  - ポリシーステートメントの重複排除またはマージが行われます。
クリックOK.

使用するRAMユーザーに必要な権限を付与します。

にログインします。RAMコンソール.
左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択します。
[ユーザー] ページで、権限を付与するRAMユーザーを見つけ、権限の追加で、アクション列を作成します。

では、権限付与パネル、必要なパラメータを設定します。

Add permissions 01

パラメーター	説明
承認済みスコープ	[アカウント] を選択します。説明 RAMユーザーにDCDNをアクティブ化して設定を変更する権限を付与する場合は、RAMユーザーが属するAlibaba Cloudアカウントに権限を付与する必要があります。 ResourceGroupを選択した場合、DCDNをアクティブ化して設定を変更する権限はRAMユーザーには有効になりません。
プリンシパル	現在のRAMユーザーが自動的に選択されます。
ポリシーの選択	[カスタマイズポリシー] をクリックします。ステップ1で作成したカスタムポリシーの名前を入力します。この例では、カスタムポリシーの名前は`AliyunDcdntest`です。カスタムポリシーが表示されたら、カスタムポリシーの名前をクリックして、[選択済み] リストにポリシーを追加します。

クリック権限の付与.
クリック閉じる.

例3: RAMユーザーにカスタムポリシーをアタッチする (サービスのアクティブ化と構成の変更のみ)

カスタムポリシーを作成します。

にログインします。RAMコンソール.
左側のナビゲーションウィンドウで、権限 > ポリシー.
クリックポリシーの作成.

をクリックし、JSONタブでカスタムポリシーを設定します。

次のコードブロックは、カスタムポリシーの内容を示しています。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dcdn:OpenDcdnService",
                 "dcdn:ModifyDcdnService"
            ],
            "Resource": "*"
        }
    ],
    "Version": "1"
}

[OK] をクリックします。表示されるページで、ポリシーの [名前] パラメーターと [説明] パラメーターを設定します。

パラメーター	説明
名前	カスタムポリシーの名前を入力します。この例では、`AliyunDcdntest`が使用されています。
説明	カスタムポリシーの説明を入力します。このパラメーターはオプションです。

カスタムポリシーの内容を確認して最適化します。
オプション: 高度な最適化
[オプションの詳細最適化] にポインターを移動し、[実行] をクリックします。システムは、高度な最適化中に次の操作を実行します。
- 操作と互換性のないリソースまたは条件が分割されます。
- リソースの数を減らします。
- ポリシーステートメントの重複排除またはマージが行われます。
クリックOK.

使用するRAMユーザーに必要な権限を付与します。

にログインします。RAMコンソール.
左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択します。
[ユーザー] ページで、権限を付与するRAMユーザーを見つけ、権限の追加で、アクション列を作成します。

では、権限付与パネル、必要なパラメータを設定します。

Add permissions 01

パラメーター	説明
承認済みスコープ	[アカウント] を選択します。説明 RAMユーザーにDCDNをアクティブ化して設定を変更する権限を付与する場合は、RAMユーザーが属するAlibaba Cloudアカウントに権限を付与する必要があります。 ResourceGroupを選択した場合、DCDNをアクティブ化して設定を変更する権限はRAMユーザーには有効になりません。
プリンシパル	現在のRAMユーザーが自動的に選択されます。
ポリシーの選択	[カスタマイズポリシー] をクリックします。ステップ1で作成したカスタムポリシーの名前を入力します。この例では、カスタムポリシーの名前は`AliyunDcdntest`です。カスタムポリシーが表示されたら、カスタムポリシーの名前をクリックして、[選択済み] リストにポリシーを追加します。

クリック権限の付与.
クリック閉じる.

例4: RAMユーザーにカスタムポリシーをアタッチする (サービスのアクティブ化と構成の変更を除く)

カスタムポリシーを作成します。

にログインします。RAMコンソール.
左側のナビゲーションウィンドウで、権限 > ポリシー.
クリックポリシーの作成.

をクリックし、JSONタブでカスタムポリシーを設定します。

JSON

次のコードブロックは、カスタムポリシーの内容を示しています。

{
    "Version": "1",
    "Statement": [
        {
            "Action": "dcdn:*",
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "dcdn:ModifyDcdnService",
                "dcdn:OpenDcdnService"
            ],
            "Resource": "*",
            "Effect": "Deny"
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "logdelivery.dcdn.aliyuncs.com"
                    ]
                }
            }
        }
    ]
}

[OK] をクリックします。表示されるページで、ポリシーの [名前] パラメーターと [説明] パラメーターを設定します。

パラメーター	説明
名前	カスタムポリシーの名前を入力します。この例では、`AliyunDcdntest`が使用されています。
説明	カスタムポリシーの説明を入力します。このパラメーターはオプションです。

カスタムポリシーの内容を確認して最適化します。
オプション: 高度な最適化
[オプションの詳細最適化] にポインターを移動し、[実行] をクリックします。システムは、高度な最適化中に次の操作を実行します。
- 操作と互換性のないリソースまたは条件が分割されます。
- リソースの数を減らします。
- ポリシーステートメントの重複排除またはマージが行われます。
クリックOK.

使用するRAMユーザーに必要な権限を付与します。

にログインします。RAMコンソール.
左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択します。
[ユーザー] ページで、権限を付与するRAMユーザーを見つけ、権限の追加で、アクション列を作成します。

では、権限付与パネル、必要なパラメータを設定します。

Add permissions 01

パラメーター	説明
承認済みスコープ	[アカウント] を選択します。説明 RAMユーザーにDCDNをアクティブ化して設定を変更する権限を付与する場合は、RAMユーザーが属するAlibaba Cloudアカウントに権限を付与する必要があります。 ResourceGroupを選択した場合、DCDNをアクティブ化して設定を変更する権限はRAMユーザーには有効になりません。
プリンシパル	現在のRAMユーザーが自動的に選択されます。
ポリシーの選択	[カスタマイズポリシー] をクリックします。ステップ1で作成したカスタムポリシーの名前を入力します。この例では、カスタムポリシーの名前は`AliyunDcdntest`です。カスタムポリシーが表示されたら、カスタムポリシーの名前をクリックして、[選択済み] リストにポリシーを追加します。

クリック権限の付与.
クリック閉じる.