管理コンソールの権限付与 - Realtime Compute for Apache Flink

Resource Access Management (RAM) ユーザーまたは RAM ロールを介して Realtime Compute コンソールにアクセスし、ワークスペースの表示、購入、削除などの操作を実行する場合、適切な権限が必要です。操作のセキュリティを確保するために、すべてのアクセスプリンシパルは、Flink ワークスペースを購入した Alibaba Cloud アカウントの管理者が RAM コンソールで対応する権限付与ポリシーを付与する必要があります。このトピックでは、サポートされている権限付与ポリシーと特定の権限付与設定方法について説明します。

権限付与シナリオ

シナリオ

インターフェース

説明

Realtime Compute 管理コンソールにアクセスできない

ワークスペース情報が表示されず、次のエラーが表示されます。

これは、Realtime Compute 管理コンソールにアクセスする権限がないことを示します。ワークスペースを購入した Alibaba Cloud アカウントの管理者に連絡し、権限付与手順に従って、お使いのアカウントに少なくとも Stream サービス (AliyunStreamReadOnlyAccess) への読み取り専用アクセス権を付与してください。権限付与が完了したら、ページを再入力または更新して正常にアクセスします。

特定の操作を実行できない

これは、現在のアカウントにこの操作を実行する権限がないことを示します。操作を実行するには、ワークスペースを購入した Alibaba Cloud アカウントの管理者に連絡し、特定の要件に従ってカスタム権限ポリシーを調整し、権限付与手順に従って対応する権限付与を完了してください。たとえば、左の画像に示すように、お使いのアカウントには、サブスクリプションワークスペースのリソース割り当てに関連する権限を付与する必要があります。

ポリシータイプ

権限付与ポリシーは、権限付与されたリソースセット、操作セット、および権限付与条件を正確に記述する構文構造で記述された権限のセットです。RAM コンソールでは、次の 2 種類の権限付与ポリシーがサポートされています。

[システムポリシー]: システムポリシーは Alibaba Cloud によって作成および更新されます。システムポリシーは使用できますが、変更はできません。ポリシーのバージョンは Alibaba Cloud によって維持されます。Flink でサポートされているシステムポリシーは次のとおりです。

権限セット	名前	説明
Realtime Compute for Apache Flink のすべての権限	AliyunStreamFullAccess	「カスタムポリシー」のすべての権限が含まれます。
読み取り専用モードで Realtime Compute for Apache Flink にアクセスする権限	AliyunStreamReadOnlyAccess	HasStreamDefaultRole と、「Realtime Compute for Apache Flink 権限ポリシー」の Describe、Query、Check、List、Get、Search で始まるすべての権限が含まれます。
費用とコスト (BSS) で注文を表示および支払う権限	AliyunBSSOrderAccess	費用とコストコンソールで注文を表示および支払うことができます。
費用とコスト (BSS) でサブスクライブを解除する権限	AliyunBSSRefundAccess	費用とコスト (BSS) で注文をサブスクライブ解除する権限。

[カスタムポリシー]: カスタムポリシーを作成、更新、削除できます。ポリシーのバージョンはご自身で管理します。Flink でサポートされているカスタムポリシーとその作成方法の詳細については、「Realtime Compute for Apache Flink 権限ポリシー」および「(オプション) ステップ 1: カスタムポリシーを作成する」をご参照ください。

前提条件

「権限付与に関する注意事項」を理解していること。

権限付与手順

(オプション) ステップ 1: カスタムポリシーを作成する

AliyunStreamFullAccess システムポリシーを直接使用する場合は、このステップをスキップできます。

カスタム権限付与ポリシーを作成する場合、Realtime Compute (Stream) サービスを基盤として使用し、実際のニーズに基づいてより詳細な制御ポイントを設計することをお勧めします。これらの制御ポイントには、Realtime Compute for Apache Flink でサポートされている「カスタム権限ポリシー」と「関連プロダクトの権限操作」が含まれます。以下は、Realtime Compute (Stream) サービスへの読み取り専用アクセスのためのカスタム権限付与ポリシーの詳細な内容です。これは、AliyunStreamReadOnlyAccess システムポリシーと同じ権限範囲を持ちます。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole"
      ],
       "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",
      "Effect": "Allow"
    }
  ]
}

カスタム権限付与ポリシーを作成するためのステップと例: 「カスタム権限ポリシーの作成」および「カスタム権限ポリシーの例」。
権限付与ポリシーでは、Action は実行する操作を示し、Resource は操作が実行されるオブジェクトを示し、Effect は権限付与の効果が許可か拒否かを示します。権限付与ポリシーの構文と構造の詳細については、「権限ポリシーの基本要素」および「権限ポリシーの構文と構造」をご参照ください。ポリシーの内容にある次のパラメーターを実際の値に置き換える必要があります。
- {#regionId}: ターゲット Flink ワークスペースが配置されているリージョン。
- {#accountId}: Alibaba Cloud アカウントの UID。
- {#instanceId}: ターゲット Realtime Compute for Apache Flink 注文インスタンスの ID。
- {#namespace}: ターゲットプロジェクトスペースの名前。

ステップ 2: ターゲットポリシーをメンバーにアタッチする

RAM ユーザーまたは RAM ロールに権限付与ポリシーをアタッチすることで、権限付与ポリシーで指定されたアクセス権限を付与できます。このトピックでは、RAM ユーザーに権限を付与する方法について説明します。RAM ロールに権限を付与する手順も同様です。詳細については、「RAM ロールに権限を付与する」をご参照ください。

RAM 管理者として RAM コンソールにログインします。
左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択します。
[ユーザー] ページで、目的の RAM ユーザーを見つけ、[操作] 列の [権限の追加] をクリックします。
複数の RAM ユーザーを選択し、ページ下部の [権限の追加] をクリックして、一度に RAM ユーザーに権限を付与することもできます。

[権限の付与] パネルで、RAM ユーザーの権限を追加します。

パラメーター	説明
リソース範囲	必要なアプリケーション範囲を選択します: [アカウント]: 権限は現在の Alibaba Cloud アカウントに付与されます。 [リソースグループ]: 権限は特定のリソースグループに対して有効です。
プリンシパル	プリンシパルは、権限を付与する RAM ユーザーです。デフォルトでは、現在の RAM ユーザーがプリンシパルとして指定されます。別の RAM ユーザーを指定することもできます。
ポリシー	システムポリシーまたは既に作成したカスタムポリシーを選択します。

[権限の付与] をクリックします。
[閉じる] をクリックします。

ステップ 3: 権限付与後にログインして使用する

権限付与が完了すると、RAM ユーザーまたは RAM ロールは、現在の Realtime Compute 管理コンソールのログインページにログインまたは更新して、関連する操作を実行できます。

ログインタイプ	ログイン方法	ログイン方法
Alibaba Cloud RAM ユーザー	RAM ユーザーログイン	RAM ユーザーが Alibaba Cloud 管理コンソールにログインする
Alibaba Cloud RAM ロール	メインアカウント A の RAM ユーザーが A のロールを偽装してログインする	RAM ロールを偽装する
Alibaba Cloud RAM ロール	メインアカウント B の RAM ユーザーが A のロールを偽装してログインする	クロスアカウントリソースの権限付与
リソースディレクトリメンバー	管理アカウントの RAM ユーザーがメンバーの RAM ロールを偽装してログインする	RAM ロールを介して Alibaba Cloud 管理コンソールにログインする
	メンバーの RAM ユーザーを介してログインする	RAM ユーザーを介して Alibaba Cloud 管理コンソールにログインする
	クラウドアカウント (ルートユーザー) を介してログインする (非推奨)	ルートユーザーを介して Alibaba Cloud 管理コンソールにログインする
	CloudSSO ユーザーが RAM ロールを介してログインする	CloudSSO を使用して複数のビジネスアカウントの ID と権限を管理する
	CloudSSO ユーザーが RAM ユーザーを介してログインする	CloudSSO を使用して複数のビジネスアカウントの ID と権限を管理する

カスタム権限ポリシーの例

RAM ユーザーが Realtime Compute for Apache Flink をアクティブ化する (オプション 1)

RAM ユーザーを使用して、フルマネージドストレージと無料モニタリングを備えたサブスクリプションの Realtime Compute for Apache Flink をアクティブ化する場合、カスタムポリシーを作成して付与する必要があります。このカスタム権限付与ポリシーには、次の権限ポイントを含める必要があります。

Realtime Compute (Stream) サービスへの読み取り専用アクセス権限: stream:Describe*、stream:Query*、stream:Check*、stream:List*、stream:Get*、stream:Search*、および stream:HasStreamDefaultRole。
Realtime Compute for Apache Flink を購入する権限: stream:CreateVvpInstance
Flink サービスが作成された VPC をクエリすることを許可する権限: vpc:DescribeVpcs
Flink サービスが作成された vSwitch をクエリすることを許可する権限: vpc:DescribeVSwitches
費用とコスト (BSS) で注文を表示および支払う権限: bss:DescribeOrderList、bss:DescribeOrderDetail、bss:PayOrder、および bss:CancelOrder

以下は、完全なカスタム権限付与ポリシーの内容です。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "stream:CreateVvpInstance",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "bss:DescribeOrderList",
        "bss:DescribeOrderDetail",
        "bss:PayOrder",
        "bss:CancelOrder"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

RAM ユーザーが Realtime Compute for Apache Flink をアクティブ化する (オプション 2)

RAM ユーザーを使用して、フルマネージドストレージと無料モニタリングを備えたサブスクリプションの Realtime Compute for Apache Flink をアクティブ化する場合、RAM ユーザーが既に AliyunStreamFullAcces システムポリシーを持っている場合は、この RAM ユーザーに追加のカスタムポリシーを作成して付与する必要があります。このカスタム権限付与ポリシーには、次の権限ポイントを含める必要があります。

Flink サービスが作成された VPC をクエリすることを許可する権限: vpc:DescribeVpcs
Flink サービスが作成された vSwitch をクエリすることを許可する権限: vpc:DescribeVSwitches
費用とコスト (BSS) で注文を表示および支払う権限: bss:DescribeOrderList、bss:DescribeOrderDetail、bss:PayOrder、および bss:CancelOrder

以下は、完全なカスタム権限付与ポリシーの内容です。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "bss:DescribeOrderList",
        "bss:DescribeOrderDetail",
        "bss:PayOrder",
        "bss:CancelOrder"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

RAM ユーザーがサブスクリプションの Flink ワークスペースをリリースする

RAM ユーザーを使用してサブスクリプションの Flink ワークスペースをリリースする場合、カスタムポリシーを作成して付与する必要があります。このカスタム権限付与ポリシーには、次の権限ポイントを含める必要があります。

Realtime Compute (Stream) サービスへの読み取り専用アクセス権限: stream:Describe*、stream:Query*、stream:Check*、stream:List*、stream:Get*、stream:Search*、および stream:HasStreamDefaultRole。
費用とコスト (BSS) でのサブスクライブ解除操作の権限: bss:Describe* および bss:Refund*

以下は、完全なカスタム権限付与ポリシーの内容です。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "bss:Describe*",
        "bss:Refund*"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

RAM ユーザーが従量課金の Flink ワークスペースをリリースする

RAM ユーザーを使用して従量課金の Flink ワークスペースをリリースする場合、カスタムポリシーを作成して付与する必要があります。このカスタム権限付与ポリシーには、次の権限ポイントを含める必要があります。

Realtime Compute (Stream) サービスへの読み取り専用アクセス権限: stream:Describe*、stream:Query*、stream:Check*、stream:List*、stream:Get*、stream:Search*、および stream:HasStreamDefaultRole。
Flink ワークスペースをリリースする権限: stream:DeleteVvpInstance

以下は、完全なカスタム権限付与ポリシーの内容です。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "stream:DeleteVvpInstance"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

RAM ユーザーがプロジェクトスペースのリソース割り当てを実行する

RAM ユーザーを使用してサブスクリプションの Realtime Compute for Apache Flink をリリースする場合も、カスタムポリシーを作成して付与する必要があります。このカスタム権限付与ポリシーには、次の権限ポイントを含める必要があります。

Realtime Compute (Stream) サービスへの読み取り専用アクセス権限: stream:Describe*、stream:Query*、stream:Check*、stream:List*、stream:Get*、stream:Search*、および stream:HasStreamDefaultRole。
サブスクリプションプロジェクトスペースのリソース変更の権限: ModifyVvpNamespaceSpec。

以下は、完全なカスタム権限付与ポリシーの内容です。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "stream:ModifyVvpNamespaceSpec"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

カスタムポリシー

Realtime Compute for Apache Flink 権限ポリシー

重要

プロジェクトスペースの権限情報を設定する前に、まず作成されたワークスペースを表示する権限 (DescribeVvpInstances) を設定する必要があります。そうしないと、権限が不足しているというエラーが報告されます。

Flink ワークスペース

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:CreateVvpInstance",
        "stream:DescribeVvpInstances",
        "stream:DeleteVvpInstance",
        "stream:RenewVvpInstance",
        "stream:ModifyVvpPrepayInstanceSpec",
        "stream:ModifyVvpInstanceSpec",
        "stream:ConvertVvpInstance",
        "stream:QueryCreateVvpInstance",
        "stream:QueryRenewVvpInstance",
        "stream:QueryModifyVvpPrepayInstanceSpec",
        "stream:QueryConvertVvpInstance"
      ],
      "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#InstanceId}",
      "Effect": "Allow"
    }
  ]
}

action	説明
CreateVvpInstance	Realtime Compute for Apache Flink を購入します。
DescribeVvpInstances	ワークスペースを表示します。
DeleteVvpInstance	Flink ワークスペースをリリースします。
RenewVvpInstance	ワークスペースを更新します (サブスクリプション)。
ModifyVvpPrepayInstanceSpec	サブスクリプションワークスペースをスケールします。
ModifyVvpInstanceSpec	従量課金ワークスペースの最大クォータを調整します。
ConvertVvpInstance	ワークスペースの課金方法を変更します。
QueryCreateVvpInstance	ワークスペース作成の価格をクエリします。
QueryRenewVvpInstance	ワークスペース更新の価格をクエリします。
QueryModifyVvpPrepayInstanceSpec	ワークスペースのスケーリング価格をクエリします。
QueryConvertVvpInstance	従量課金からサブスクリプションへの変換価格をクエリします。

説明

Realtime Compute for Apache Flink の購入とワークスペースの表示については、Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId} を "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/*" に変更できます。

Flink プロジェクトスペース

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:CreateVvpNamespace",
        "stream:DeleteVvpNamespace",
        "stream:ModifyVvpPrepayNamespaceSpec",
        "stream:ModifyVvpNamespaceSpec",
        "stream:DescribeVvpNamespaces"
      ],
       "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",
      "Effect": "Allow"
    }
  ]
}

action	説明
CreateVvpNamespace	プロジェクトスペースを作成します。
DeleteVvpNamespace	プロジェクトスペースを削除します。
ModifyVvpPrepayNamespaceSpec	サブスクリプションプロジェクトスペースのリソースを変更します。
ModifyVvpNamespaceSpec	従量課金プロジェクトスペースのリソースを変更します。
DescribeVvpNamespaces	プロジェクトのリストを表示します。プロジェクトスペースのリストを表示します。このポリシーを設定した後、ターゲットワークスペース ID の左側にあるアイコンをクリックして、そのワークスペースで作成されたプロジェクトスペースのリストを表示できます。特定のプロジェクトスペースの開発コンソールにもアクセスする必要がある場合は、対応するプロジェクトスペースのジョブ開発権限を付与される必要があります。詳細については、「開発コンソールの権限付与」をご参照ください。

説明

プロジェクトスペースの作成とプロジェクトスペースリストの表示については、"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}", を "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/*", に変更できます。

関連サービスの権限操作

ECS 関連の操作

インターネット経由で Realtime Compute for Apache Flink の開発コンソールにアクセスする前に、Alibaba Cloud アカウントを使用して Elastic IP Address (EIP) をアクティブ化する必要があります。仮想プライベートクラウド (VPC) 内のリソースにアクセスする前に、VPC 内にエラスティックネットワークインターフェース (ENI) を作成する必要があります。ENI は、Realtime Compute for Apache Flink の専用セキュリティグループに追加されます。この場合、Realtime Compute for Apache Flink は、EIP、セキュリティグループ、および ENI に対する操作権限を持っている必要があります。

操作	説明
ecs:AssociateEipAddress	インターネット経由で Realtime Compute for Apache Flink にアクセスするための EIP を申請します。
ecs:AttachNetworkInterface	ENI を Realtime Compute for Apache Flink のリソースプールにバインドします。
ecs:AuthorizeSecurityGroup	Realtime Compute for Apache Flink でセキュリティグループを作成し、セキュリティグループにインバウンドルールを追加します。
ecs:AuthorizeSecurityGroupEgress	Realtime Compute for Apache Flink でセキュリティグループを作成し、セキュリティグループにアウトバウンドルールを追加します。
ecs:CreateNetworkInterface	VPC に ENI を作成し、Realtime Compute for Apache Flink を VPC に接続します。
ecs:CreateNetworkInterfacePermission	エラスティックネットワークインターフェース (ENI) の Flink サービスアクセス権限を許可します。
ecs:CreateSecurityGroup	Realtime Compute for Apache Flink でセキュリティグループを作成します。
ecs:DeleteNetworkInterface	タスクが完了した後、Realtime Compute for Apache Flink のタスクで使用されるリソースの ENI を削除します。
ecs:DeleteNetworkInterfacePermission	ENI を Realtime Compute for Apache Flink からアンバインドします。
ecs:DeleteSecurityGroup	Realtime Compute for Apache Flink のセキュリティグループを削除します。
ecs:DescribeNetworkInterfacePermissions	ENI を Realtime Compute for Apache Flink のサーバーレスリソースプールからアンバインドします。
ecs:DescribeNetworkInterfaces	Realtime Compute for Apache Flink にバインドされている ENI をクエリします。
ecs:DescribeSecurityGroupAttribute	Realtime Compute for Apache Flink のセキュリティグループのセキュリティグループルールをクエリします。
ecs:DescribeSecurityGroupReferences	Realtime Compute for Apache Flink のセキュリティグループとセキュリティグループレベルの権限付与をクエリします。
ecs:DescribeSecurityGroups	Realtime Compute for Apache Flink で作成されたセキュリティグループの基本情報をクエリします。
ecs:DetachNetworkInterface	ENI を Realtime Compute for Apache Flink のリソースプールからアンバインドします。
ecs:JoinSecurityGroup	ENI を Realtime Compute for Apache Flink のセキュリティグループに追加します。
ecs:LeaveSecurityGroup	ENI を Realtime Compute for Apache Flink のセキュリティグループから削除します。
ecs:ModifyNetworkInterfaceAttribute	ENI の名前、説明、ENI が属するセキュリティグループなどの情報を変更します。
ecs:ModifySecurityGroupAttribute	Realtime Compute for Apache Flink のセキュリティグループの名前または説明を変更します。
ecs:ModifySecurityGroupPolicy	Realtime Compute for Apache Flink のセキュリティグループ内のアクセスの制御ポリシーを変更します。
ecs:ModifySecurityGroupRule	Realtime Compute for Apache Flink のセキュリティグループのインバウンドルールの説明を変更します。
ecs:RevokeSecurityGroup	Realtime Compute for Apache Flink のセキュリティグループのインバウンドルールを削除します。
ecs:RevokeSecurityGroupEgress	Realtime Compute for Apache Flink のセキュリティグループのアウトバウンドルールを削除します。
ecs:UnassociateEipAddress	Realtime Compute for Apache Flink で使用される EIP をリリースします。

OSS 関連の操作

Object Storage Service (OSS) バケットをクエリする前に、OSS リソースに対する権限を取得する必要があります。

操作	説明
oss:ListBuckets	Realtime Compute for Apache Flink で使用される OSS バケットをクエリします。
oss:GetBucketInfo	バケットの統計情報をクエリします。
oss:GetObjectMetadata	オブジェクトのメタデータを取得します。
oss:GetObject	オブジェクトを取得します。
oss:ListObjects	バケット内のすべてのオブジェクトに関する情報をリストします。
oss:PutObject	オブジェクトをアップロードします。
oss:CopyObject	同じリージョン内の同じバケットまたは異なるバケットに保存されているオブジェクトをコピーします。
oss:CompleteMultipartUpload	オブジェクトのすべてのパーツがアップロードされた後、オブジェクトのマルチパートアップロードを完了します。
oss:AbortMultipartUpload	マルチパートアップロードタスクをキャンセルし、アップロードされたパーツを削除します。
oss:InitiateMultipartUpload	マルチパートアップロードモードでデータが送信される前に、OSS にマルチパートアップロードタスクを開始するように指示します。
oss:UploadPartCopy	既存のオブジェクトからデータをコピーし、オブジェクトの一部をアップロードします。
oss:UploadPart	指定されたオブジェクト名とアップロード ID に基づいて、オブジェクトをパーツごとにアップロードします。
oss:DeleteObject	オブジェクトを削除します。
oss:PutBucketcors	バケットのオリジン間リソース共有 (CORS) ルールを設定します。
oss:GetBucketCors	バケットに設定されている CORS ルールをクエリします。
oss:PutBucket	バケットを作成します。

説明

OSS の Key Management Service (KMS) 暗号化機能を使用する場合は、KMS 関連のポリシーを AliyunStreamAsiDefaultRole ロールにアタッチする必要があります。詳細については、「サーバーサイド暗号化」トピックの「暗号化方式が設定されているバケットにオブジェクトをアップロードする」セクションをご参照ください。

ARMS 関連の操作

Application Real-Time Monitoring Service (ARMS) サービスをアクティブ化すると、Realtime Compute for Apache Flink のデプロイメントのメトリックが ARMS に保存されます。

操作	説明
arms:ListDashboards	ARMS ダッシュボードをクエリします。
arms:CreateContact	連絡先を作成します。
arms:DeleteContact	連絡先を削除します。
arms:SearchContact	連絡先をクエリします。
arms:UpdateContact	連絡先を更新します。
arms:CreateContactGroup	連絡先グループを作成します。
arms:DeleteContactGroup	連絡先グループを削除します。
arms:SearchContactGroup	連絡先グループをクエリします。
arms:UpdateContactGroup	連絡先グループを更新します。
arms:SearchAlertRules	1 つ以上のアラートルールをクエリします。
arms:CreateAlertRules	1 つ以上のアラートルールを作成します。
arms:UpdateAlertRules	1 つ以上のアラートルールを更新します。
arms:DeleteAlertRules	1 つ以上のアラートルールを削除します。
arms:StartAlertRule	アラートルールを有効にします。
arms:StopAlertRule	アラートルールを無効にします。
arms:SearchAlarmHistories	履歴アラート情報をクエリします。
arms:OpenArmsService	ARMS サービスをアクティブ化します。
arms:CreateWebhook	Webhook を作成します。
arms:UpdateWebhook	Webhook を更新します。
arms:CreateDispatchRule	ディスパッチルールを作成します。
arms:ListDispatchRule	ディスパッチルールをクエリします。
arms:DeleteDispatchRule	ディスパッチルールを削除します。
arms:UpdateDispatchRule	ディスパッチルールを更新します。
arms:DescribeDispatchRule	ディスパッチルールの詳細をクエリします。
arms:GetAlarmHistories	アラート送信履歴を取得します。
arms:SaveAlert	アラートルールを保存します。
arms:DeleteAlert	アラートルールを削除します。
arms:GetAlert	アラートルールを取得します。
arms:CheckServiceStatus	プロダクトのアクティベーションステータスを確認します。
arms:InstallManagedPrometheus	マネージド Prometheus を作成します。
arms:UninstallManagedPrometheus	マネージド Prometheus をアンインストールします。
arms:GetManagedPrometheusStatus	マネージド Prometheus インスタンスのインストールステータスを取得します。

VPC 関連の操作

Realtime Compute for Apache Flink ワークスペースを作成する際には、VPC 内のリソースに対する Describe 権限が必要です。

操作	説明
vpc:DescribeVpcAttribute	VPC の構成をクエリします。
vpc:DescribeVpcs	作成された VPC をクエリします。
vpc:DescribeVSwitchAttributes	vSwitch に関する情報をクエリします。
vpc:DescribeVSwitches	作成された vSwitch をクエリします。
vpc:DescribeRouteTableList	ルートテーブルをクエリします。
vpc:DescribeRouteTables	ルートテーブルをクエリします。
vpc:DescribeRouteEntryList	ルートテーブル内のルートエントリをクエリします。
vpc:DescribeRouterInterfaceAttribute	ルーターインターフェイスの構成をクエリします。
vpc:DescribeRouterInterfaces	ルーターインターフェイスをクエリします。
vpc:DescribeVRouters	リージョン内の vRouter をクエリします。
vpc:CreateVpc	VPC を作成します。
vpc:CreateVSwitch	vSwitch を作成します。

RAM 関連の操作

Realtime Compute for Apache Flink ワークスペースを作成する際には、リソースを設定するための関連する RAM 権限が必要です。

操作	説明
ram:*	次の RAM リソースを追加、削除、変更、クエリします: ドメインとアプリケーション。

TAG 関連の権限ポイント

操作	説明
tag:ListTagResources	リソースタグリストをクエリします。
tag:ListTagKeys	タグキーリストをクエリします。
tag:ListTagValues	指定されたタグキーに対応するタグ値をクエリします。

DLF 関連の権限操作

Realtime Compute for Apache Flink ワークスペースを作成する際には、関連するカタログにアクセスするための Data Lake Formation (DLF) 権限が必要です。

操作	説明
dlf:BatchCreatePartitions	一度に複数のパーティションを作成します。
dlf:BatchCreateTables	一度に複数のテーブルを作成します。
dlf:BatchDeletePartitions	一度に複数のパーティションを削除します。
dlf:BatchDeleteTables	一度に複数のテーブルを削除します。
dlf:BatchGetPartitions	一度に複数のパーティションをクエリします。
dlf:BatchGetTables	一度に複数のテーブルをクエリします。
dlf:BatchUpdatePartitions	一度に複数のパーティションを更新します。
dlf:BatchUpdateTables	一度に複数のテーブルを更新します。
dlf:CreateCatalog	データレイクカタログを作成します。
dlf:CreateDatabase	データベースを作成します。
dlf:CreateFunction	関数を作成します。
dlf:CreatePartition	パーティションを作成します。
dlf:CreateTable	テーブルを作成します。
dlf:DeleteCatalog	データレイクカタログを削除します。
dlf:DeleteDatabase	データベースを削除します。
dlf:DeleteFunction	関数を削除します。
dlf:DeletePartition	パーティションを削除します。
dlf:DeleteTable	テーブルを削除します。
dlf:GetAsyncTaskStatus	非同期タスクのステータスをクエリします。
dlf:GetCatalog	データレイクカタログをクエリします。
dlf:GetCatalogByInstanceId	インスタンス ID でカタログをクエリします。
dlf:GetCatalogSettings	データレイクの構成をクエリします。
dlf:GetDatabase	データベースをクエリします。
dlf:GetFunction	関数をクエリします。
dlf:GetPartition	パーティションをクエリします。
dlf:GetTable	テーブルをクエリします。
dlf:ListCatalogs	カタログをクエリします。
dlf:ListDatabases	データベースをクエリします。
dlf:ListFunctionNames	関数名をクエリします。
dlf:ListFunctions	関数をクエリします。
dlf:ListPartitionNames	パーティション名をクエリします。
dlf:ListPartitions	パーティションをクエリします。
dlf:ListPartitionsByExpr	式を使用してパーティションをクエリします。
dlf:ListPartitionsByFilter	フィルターを使用してパーティションをクエリします。
dlf:ListTableNames	テーブル名をクエリします。
dlf:ListTables	テーブルをクエリします。
dlf:RenamePartition	パーティションの名前を変更します。
dlf:RenameTable	テーブルの名前を変更します。
dlf:UpdateCatalog	データレイクカタログを更新します。
dlf:UpdateDatabase	データベースを更新します。
dlf:UpdateFunction	関数を更新します。
dlf:UpdateTable	テーブルを更新します。
dlf:BatchGetPartitionColumnStatistics	一度に複数のメタデータテーブルパーティションの統計情報をクエリします。
dlf:DeletePartitionColumnStatistics	メタデータテーブルパーティションの統計情報を削除します。
dlf:DeleteTableColumnStatistics	メタデータテーブルの統計情報を削除します。
dlf:GetPartitionColumnStatistics	メタデータテーブルパーティションのフィールドの統計情報をクエリします。
dlf:GetTableColumnStatistics	メタデータテーブルのフィールドの統計情報をクエリします。
dlf:UpdateTableColumnStatistics	メタデータテーブルの統計情報を更新します。
dlf:UpdatePartitionColumnStatistics	メタデータテーブルパーティションの統計情報を更新します。
dlf:CreateLock	メタデータロックを作成します。
dlf:UnLock	メタデータロックを解除します。
dlf:AbortLock	メタデータロックを中止します。
dlf:RefreshLock	メタデータロックをリフレッシュします。
dlf:GetLock	メタデータロックをクエリします。
dlf:GetCatalogAccessInfo	カタログ UUID に基づいて、バックエンドストレージに関するストレージ名やストレージエンドポイントなどの情報をクエリします。
dlf:GetDataToken	カタログ UUID に基づいて、カタログレベルまたはテーブルレベルのキーをクエリします。
dlf:GetDataTokenByName	カタログ UUID、データベース名、またはテーブル名に基づいて、カタログレベルまたはテーブルレベルのキーをクエリします。
dlf-auth:ActOnBehalfOfAnotherUser	サービスリンクロール (SLR) またはサービスロール (SR) を使用して DLF にアクセスします。
dlf:GrantPermissions	プリンシパルリソースに権限を付与します。
dlf:RevokePermissions	プリンシパルリソースの権限を取り消します。
dlf:BatchGrantPermissions	一度に複数の権限を付与します。
dlf:BatchRevokePermissions	一度に複数の権限を取り消します。
dlf:UpdatePermissions	プリンシパルリソースの権限を更新します。
dlf:ListPermissions	リソースまたはプリンシパルの権限をクエリします。
dlf:CreateRole	ロールを作成します。
dlf:UpdateRole	ロールを更新します。
dlf:DeleteRole	ロールを削除します。
dlf:GetRole	ロールをクエリします。
dlf:ListRoles	ロールをクエリします。
dlf:GrantRolesToUser	一度に複数のロール権限をユーザーに付与します。
dlf:RevokeRolesFromUser	一度にユーザーの複数のロール権限を取り消します。
dlf:GrantRoleToUsers	一度に複数のユーザーにロール権限を付与します。
dlf:RevokeRoleFromUsers	一度に複数のユーザーのロール権限を取り消します。
dlf:UpdateRoleUsers	ロールのユーザーを更新します。
dlf:ListRoleUsers	ロールのユーザーをクエリします。
dlf:ListUserRoles	ユーザーロールをクエリします。
dlf:GrantRolesToPrincipal	一度にプリンシパルに複数のロール権限を付与します。
dlf:RevokeRolesFromPrincipal	一度にプリンシパルの複数のロール権限を取り消します。
dlf:GrantRoleToPrincipals	一度に複数のプリンシパルにロール権限を付与します。
dlf:RevokeRoleFromPrincipals	一度に複数のプリンシパルのロール権限を取り消します。
dlf:UpdateRolePrincipals	ロール内のプリンシパルを更新します。
dlf:BatchDeleteRoles	一度に複数のロールを削除します。
dlf:CheckPermissions	権限を確認します。
dlf:GetCatalogStorageStatistics	カタログの統計情報をクエリします。
dlf:GetCatalogStorageIndicatorDetails	カタログメトリックの傾向をクエリします。
dlf:GetCatalogStorageRank	カタログストレージ統計のランキングをクエリします。
dlf:GetCatalogStorageAnalysis	カタログ内のデータ分布をクエリします。
dlf:GetDatabaseProfile	データベースのデータプロファイルをクエリします。
dlf:GetDatabaseStorageAnalysis	データベース内のデータ分布をクエリします。
dlf:GetTableProfile	テーブルのデータプロファイルをクエリします。
dlf:GetTableStorageAnalysis	テーブル内のデータ分布をクエリします。
dlf:ListPartitionProfiles	パーティションデータプロファイルをクエリします。
dlf:getLatestStorageStatisticsDate	ストレージ概要データが最後に更新された時刻をクエリします。
dlf:SubscribeOptimize	最適化を送信します。
dlf:GetOptimizeRegionStatus	最適化のリージョンとステータスをクエリします。
dlf:GetOptimizeWorkspaceAuthorization	最適化されたワークスペースの権限付与をクエリします。
dlf:AddOptimizeWorkspace	最適化されたワークスペースを追加します。
dlf:ListOptimizeWorkspaces	最適化されたワークスペースをクエリします。
dlf:PreCheckOptimizeWorkspaceConnection	最適化されたワークスペースへの接続を事前チェックします。
dlf:CheckOptimizeWorkspaceConnection	最適化されたワークスペースへの接続を確認します。
dlf:DeleteOptimizeWorkspace	最適化されたワークスペースを削除します。
dlf:SetOptimizeEnable	ストレージの最適化を有効にします。
dlf:SetOptimizePolicy	ストレージ最適化ポリシーを設定します。
dlf:GetOptimizePolicy	ストレージ最適化ポリシーをクエリします。
dlf:SetOptimizeScheduleRule	ストレージ最適化スケジューリングルールを追加します。
dlf:ListOptimizeScheduleRules	最適化スケジューリングルールをクエリします。
dlf:DeleteOptimizeScheduleRule	ストレージ最適化スケジューリングルールを削除します。
dlf:RunOptimizeImmediately	ストレージの最適化をすぐに実行します。
dlf:GetOptimizeInfo	最適化情報を照会します。
dlf:UpdateOptimizeTaskResult	ストレージ最適化タスクの結果を更新します。
dlf:BatchDeleteTableVersions	データレイクデータテーブルの指定されたバージョンをバッチで削除します。
dlf:DeleteTableVersion	データレイク内のデータテーブルの指定されたバージョンを削除します。
dlf:GetTableVersion	データレイク内のデータテーブルの指定されたバージョンを取得します。
dlf:ListTableVersions	データレイク内のデータテーブルの指定されたバージョンのリストをページングクエリします。
dlf:Search	メタデータ検索。
dlf:SearchAcrossCatalog	データベース、テーブル、フィールド、その他のコンテンツのクロス検索。
dlf:GetServiceStatus	特定のユーザーの Data Lake Formation のサービスアクティベーションステータスを取得します。
dlf:GetRegionStatus	指定されたリージョンでの Data Lake Formation のサービスアクティベーションステータスを取得します。

Realtime Compute for Apache Flink:管理コンソールの権限付与

権限付与シナリオ

ポリシータイプ

前提条件

権限付与手順

(オプション) ステップ 1: カスタムポリシーを作成する

ステップ 2: ターゲットポリシーをメンバーにアタッチする

ステップ 3: 権限付与後にログインして使用する

カスタム権限ポリシーの例

RAM ユーザーが Realtime Compute for Apache Flink をアクティブ化する (オプション 1)

RAM ユーザーが Realtime Compute for Apache Flink をアクティブ化する (オプション 2)

RAM ユーザーがサブスクリプションの Flink ワークスペースをリリースする

RAM ユーザーが従量課金の Flink ワークスペースをリリースする

RAM ユーザーがプロジェクトスペースのリソース割り当てを実行する

カスタムポリシー

Realtime Compute for Apache Flink 権限ポリシー

Flink ワークスペース

Flink プロジェクトスペース

関連サービスの権限操作

ECS 関連の操作

OSS 関連の操作

ARMS 関連の操作

VPC 関連の操作

RAM 関連の操作

TAG 関連の権限ポイント

DLF 関連の権限操作

関連資料