このトピックでは、権限付与に関する主要な情報 (権限付与シナリオ、権限モデル、コンソールの違い、権限付여プロセス、ログイン方法別のアクセス権付与方法など) について説明します。
注意事項
Realtime Compute for Apache Flink を初めて有効化すると、有効化ページで自動承認を完了するように求められます。RAM にリダイレクトされ、クラウドリソースアクセス承認ページで [承認に同意] をクリックします。承認を完了すると、お使いの Alibaba Cloud アカウントは管理コンソールと開発コンソールの両方にアクセスでき、関連クラウドサービスのリソースを呼び出すことができます。
ワークスペースを他のユーザーと共有し、きめ細かい権限を付与する必要がある場合は、このトピックの手順に従って権限付与を行ってください。
権限付与
シナリオ
シナリオ | 説明 | 権限付与戦略 | 権限付与方法 |
管理操作 | ユーザーがワークスペースの購入、リソースの購入、リソース設定の調整などの管理操作を実行する必要がある場合、そのユーザーは 管理 コンソールにログインする必要があります。 |
| |
開発および運用保守操作 | ユーザーがジョブの開発、デバッグ、運用保守などの操作を実行する必要がある場合、そのユーザーは 開発 コンソールにログインする必要があります。 |
|
権限モデル
管理コンソール
管理コンソールの権限は、Alibaba Cloud アカウントが RAM コンソール で RAM ユーザーまたは RAM アイデンティティにポリシーをアタッチすることによって管理されます。これらのポリシーのスコープは、Realtime Compute for Apache Flink および関連サービスのリソースを含む、Alibaba Cloud アカウント内のすべてのリソースを対象とします。
開発コンソール
開発コンソールの権限は、Alibaba Cloud アカウントが 開発コンソール で RAM ユーザーまたは他の Alibaba Cloud アカウントにロールを割り当てることによって管理されます。これらのロールのスコープは、開発コンソールの主要機能および副次機能のすべての権限を対象とします。
コンソール
ログインして権限を付与する前に、どのコンソールに権限を付与するかを特定する必要があります。Realtime Compute for Apache Flink は、管理コンソールと開発コンソールを提供します。次の表で、これらのユーザーインターフェイス (UI) と目的の違いを説明します。
コンソール | UI | 目的 |
管理コンソール | [概要] ページの上部には [Flink Fully Managed] 製品カードが表示され、 [Quick Start] と [Buy Now] のエントリポイントがあります。このカードの下には、 [Workspace Status]、 [Used/Purchased CUs]、 [Billing Method] などの列があるワークスペースのリストがあります。 [Actions] 列で、 [Console] をクリックして対応するワークスペースに移動します。 [More] をクリックすると、リソースのスケーリングや解放などの管理操作を実行できます。 | ワークスペースの表示、購入、解放、リソースの調整、名前空間のクローン作成、フルマネージドストレージ用のOSSバケットの切り替え。 |
開発コンソール | 開発コンソールは次のエリアで構成されています。左側メニューには、 [Data Development]、 [Data Management]、 [Data Lineage]、 [O&M Center] ([Job O&M]、 [Queue Management]、 [Session Management]、 [Configuration Management] を含む)、 [Connectors]、 [File Management]、 [Security Services] などの機能へのエントリポイントがあります。左側のファイルツリーは、 ジョブドラフト の管理に使用されます。上部のツールバーには、 [New]、 [Save]、 [Format]、 [Deep Check]、 [Debug]、 [Deploy]、 [Go to O&M] などの操作ボタンが含まれています。中央のエリアは SQL エディターで、Flink SQL スクリプトの記述と編集に使用されます。 | ターゲットの 名前空間 で、ジョブの開発、運用保守、名前空間の権限付与などの操作を実行できます。 |
権限付与プロセス
権限を付与する前に、管理者 (ワークスペースを購入した Alibaba Cloud アカウント、または必要な権限を持つ別のユーザー) は、ユースケースの決定、必要なコンソールの特定、権限付与戦略 (システムポリシー/ロールを付与するか、カスタムのものを作成するか) の選択を行う必要があります。次に、ターゲットコンソール固有の権限付与方法に従って、権限付与を完了します。
ログイン方法別の権限付与
Alibaba Cloud アカウントでのログイン
ワークスペースを購入した Alibaba Cloud アカウントは、デフォルトで管理コンソールと開発コンソールに対するすべての権限を持っており、個別の権限付与は不要です。別の Alibaba Cloud アカウントが Realtime Compute のコンソールにアクセスする必要がある場合は、以下の手順で権限を付与できます。
ログイン方法 | 対象コンソール | 権限付与 |
Alibaba Cloud アカウント | 管理コンソール | 他の Alibaba Cloud アカウントには、管理コンソールへのアクセス権を付与できません。 |
開発コンソール |
|
RAM ユーザーでのログイン
ログイン方法 | 対象コンソール | 権限付与 |
RAM ユーザー | 管理コンソール |
|
開発コンソール |
|
RAM ロールでのログイン
RAMロールを引き受けてログオンする場合、対応する RAM ユーザーには、そのロールを引き受けるための AliyunSTSAssumeRoleAccess 権限が必要です。
ログイン方法 | 対象コンソール | 権限付与 |
Alibaba Cloud アカウントのロールを引き受ける RAM ユーザー | 管理コンソール |
|
開発コンソール |
|
例えば、アカウント A の RAM ユーザーとアカウント B の RAM ユーザーが両方ともアカウント A の同じロールを引き受ける場合、どのユーザーが引き受けるかに関わらず、権限を付与されるプリンシパルはロール自体です。
リソースディレクトリのメンバーによるログイン
ログイン方法 | 対象コンソール | 権限付与 |
ルートユーザー (Alibaba Cloud アカウント) としてログイン | 管理コンソール | 個別の権限付与は不要です。 |
開発コンソール |
| |
管理アカウントの RAM ユーザーがメンバーの RAM ロールを引き受けてログイン | 管理コンソール | ほとんどの場合、個別の権限付与は不要です。 |
開発コンソール |
| |
メンバーの RAM ユーザーとしてログイン | 管理コンソール |
|
開発コンソール |
| |
CloudSSO ユーザーが RAM ロールを引き受けてログイン | 管理コンソール |
|
開発コンソール |
| |
CloudSSO ユーザーが RAM ユーザーとしてログイン | 管理コンソール |
|
開発コンソール |
|
基本概念
アカウントタイプ
アカウントタイプ | 説明 |
Alibaba Cloud アカウント | Alibaba Cloud アカウントは、Alibaba Cloud リソースを所有する基本的なエンティティであり、メータリングと課金に使用されます。購入したすべての製品に対する完全なアクセス権を持っています。 |
RAM ユーザー | RAM ユーザーは、Alibaba Cloud リソースにアクセスする必要がある人またはアプリケーションを表す RAM 内のエンティティアイデンティティです。RAM ユーザーを作成して権限を付与すると、そのユーザーは付与された権限に基づいてクラウドリソースにアクセスできます。詳細については、「RAM ユーザーの作成」をご参照ください。 |
RAM ロール | RAM ロールは、一連のポリシーを付与できる仮想ユーザーです。RAM ユーザーとは異なり、RAM ロールにはログインパスワードや AccessKey ペアなどの永続的な認証情報がありません。信頼されたエンティティがそのロールを引き受けて使用する必要があります。詳細については、「RAM ロールの概要」をご参照ください。 |
リソースディレクトリのメンバー | Resource Directory (RD) は、企業顧客がアカウントとリソース間の多階層の関係を管理できるサービスです。メンバーは、Alibaba Cloud 上で特定のプロジェクトやアプリケーションをホストするためにResource Directory内に作成されるリソースアカウントです。詳細については、「リソースディレクトリとは」をご参照ください。 |
権限
Alibaba Cloud では、権限を使用して、RAM アイデンティティ (RAM ユーザー、RAM ユーザーグループ、または RAM ロール) が特定のリソースに対して何ができるかを記述します。
Alibaba Cloud アカウント (リソース所有者) がすべての権限を制御
各リソースの所有者は 1 つだけで、Alibaba Cloud アカウントである必要があります。所有者はリソースを完全に制御できます。
リソースの所有者は、必ずしもリソースの作成者であるとは限りません。例えば、RAM アイデンティティにリソースを作成する権限が付与されている場合、作成されたリソースは Alibaba Cloud アカウントに属します。この場合、RAM アイデンティティは作成者ですが、所有者ではありません。
RAM アイデンティティ (操作者) はデフォルトでは権限を持たない
RAM アイデンティティは操作者を表します。すべての操作には、Alibaba Cloud アカウントによる明示的な権限付与が必要です。
新しく作成された RAM アイデンティティは、デフォルトでは権限を持っていません。Alibaba Cloud アカウントが権限を付与した後にのみ、コンソールまたは API を通じてリソースを操作できます。
ポリシー
ポリシーは、特定の構文と構造で定義された一連の権限であり、権限を付与するリソース、アクション、および条件を指定します。RAM がサポートするポリシー要素と言語仕様の詳細については、「ポリシー要素」および「ポリシーの構造と構文」をご参照ください。
RAM は、次の種類のポリシーをサポートしています。
システムポリシー：Alibaba Cloud によって作成および保守されます。使用はできますが、変更はできません。
カスタムポリシー：ユーザーによって作成および保守されます。ご自身で作成、更新、削除が可能です。
ポリシーをアタッチすることで、RAM アイデンティティにアクセス権限を付与できます。詳細については、「RAM ユーザーへの権限付与」、「RAM ユーザーグループへの権限付与」、および「RAM ロールへの権限付与」をご参照ください。