Elasticsearch:カスタムポリシーの作成

前提条件

ポリシーの構造と構文を理解している必要があります。詳細については、ポリシーの構造と構文をご参照ください。

注意事項

カスタムポリシーはアカウントレベルでのみ有効になり、リソースグループレベルでは有効になりません。コンソールに RAM ユーザーに対して特定のクラスターのみを表示する場合は、リソースグループを使用して、クラスターに対する関連する権限を RAM ユーザーに付与できます。詳細については、リソースグループを使用してクラスターに対する権限を付与するをご参照ください。

手順

詳細については、JSON タブでカスタムポリシーを作成するをご参照ください。ビジネス要件に基づいてポリシードキュメントを入力できます。また、プロンプトに従って既存のシステムポリシーをインポートし、ポリシーを変更して、変更したポリシーをカスタムポリシーとして使用することもできます。

例：

• Alibaba Cloud アカウントに属する仮想プライベートクラウド（VPC）にアクセスする権限

  "elasticsearch:DescribeVpcs","elasticsearch:DescribeVSwitches" // VPC と vSwitch を取得するための権限
  {
    "Version": "1",
    "Statement": [
      {
        "Action": [
          "elasticsearch:DescribeVpcs",
          "elasticsearch:DescribeVSwitches"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }
    ]
  }

• 注文の支払い権限

  { // 注文の支払い権限
    "Version": "1",
    "Statement": [
      {
        "Action": [
          "bss:PayOrder"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }
    ]
  }

詳細については、ポリシーの例をご参照ください。

ポリシーの例

管理者向けのポリシー

{ // 国際リージョンおよびパートナー向けの管理者ポリシー
    "Statement": [
        { // Elasticsearch に対するすべての操作権限を付与
            "Action": [
                "elasticsearch:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        { // CloudMonitor に対するすべての操作権限を付与
            "Action": [
                "cms:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        { // 注文の支払い権限を付与
            "Action": "bss:PayOrder",
            "Effect": "Allow",
            "Resource": "*"
        },
        { // サービスリンクロールを作成するための権限を付与
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "collector.elasticsearch.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}

特定のクラスターに対する操作権限のポリシー

{ // 国際リージョンおよびパートナー向けの特定のクラスターに対する操作権限のポリシー
    "Statement": [
        { // 特定のクラスターに対するすべての Elasticsearch 操作権限を付与
            "Action": [
                "elasticsearch:*"
            ],
            "Effect": "Allow",
            "Resource": "acs:elasticsearch:*:<yourAccountId>:instances/<yourInstanceId>"
        },
        { // CloudMonitor に対する権限を付与
            "Action": [
                "cms:DescribeActiveMetricRuleList", // CloudMonitor が有効になっているサービスを照会する権限
                "cms:ListAlarm", // すべてまたは特定のアラートルールを照会する権限
                "cms:QueryMetricList" // 一定期間内の特定のサービスのインスタンスまたはクラスターの監視データを照会する権限
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        { // クラスターに追加されているすべてのタグを表示する権限を付与
            "Action": [
                "elasticsearch:ListTags"
            ],
            "Effect": "Allow",
            "Resource": "acs:elasticsearch:*:<yourAccountId>:tags/*"
        },
        { // Elasticsearch クラスターと共有 OSS リポジトリを照会する権限を付与
            "Action": [
                "elasticsearch:ListInstance", // Elasticsearch クラスターを照会する権限
                "elasticsearch:ListSnapshotReposByInstanceId" // 共有 OSS リポジトリを照会する権限
            ],
            "Effect": "Allow",
            "Resource": "acs:elasticsearch:*:<yourAccountId>:instances/*"
        },
        { // Logstash クラスターを照会する権限を付与
            "Action": [
                "elasticsearch:ListLogstash"
            ],
            "Effect": "Allow",
            "Resource": "acs:elasticsearch:*:<yourAccountId>:logstashes/*"
        }, 
        { // Beats シッパーを照会する権限を付与
            "Action": [
                "elasticsearch:ListCollectors"
            ],
            "Effect": "Allow",
            "Resource": "acs:elasticsearch:*:<yourAccountId>:collectors/*"
        }
    ],
    "Version": "1"
}

[
  "cms:DescribeActiveMetricRuleList",
  "cms:ListAlarm",
  "cms:QueryMetricList"
]

"bss:PayOrder"

[
  "elasticsearch:DescribeVpcs",
  "elasticsearch:DescribeVSwitches"
]

[
  "elasticsearch:*"
]

[
  "elasticsearch:ListTags"
]

[
  "elasticsearch:ListInstance",
  "elasticsearch:ListSnapshotReposByInstanceId" 
]

[
  "elasticsearch:ListCollectors"
]

[
  "elasticsearch:ListLogstash"
]