Function Compute:ポリシーとサンプルポリシー

ポリシータイプ

システムポリシー

RAM ユーザーとして初めて Function Compute コンソール にログインする場合は、Alibaba Cloud アカウントを使用して、Function Compute および他の Alibaba Cloud サービスのシステムポリシーを RAM ユーザーにアタッチする必要があります。システムポリシーがアタッチされた後にのみ、RAM ユーザーとして Function Compute を含む Alibaba Cloud サービスにアクセスできます。

 {
        "Statement": [
            {
                "Action": [
                    "ram:PassRole"
                ],
                "Effect": "Allow",
                "Resource": "*"
            }
        ],
        "Version": "1"
    }

カスタムポリシー

システムポリシーに加えて、Function Compute は、RAM ユーザーに詳細な権限を付与できるカスタムポリシーをサポートしています。ポリシーの詳細については、「ポリシーの基本要素」をご参照ください。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "fc:InvokeFunction" // 関数の呼び出し
            ],
            "Resource": "acs:fc:cn-hangzhou:*:functions/demo", // 中国 (杭州) リージョンの demo 関数
            "Effect": "Allow" // 許可
        }
    ]
}

サンプルポリシー

サービスの作成とクエリ、および関数の作成と呼び出しを行うためのカスタムポリシー

{
	"Version": "1",
	"Statement": [{
			"Action": [
				"fc:CreateFunction",
				"fc:GetFunction",
				"fc:InvokeFunction"
			],
			"Resource": "*",
			"Effect": "Allow"
		},
		{
			"Action": [
				"ram:PassRole"
			],
			"Effect": "Allow",
			"Resource": "*"
		}
	]
}

ログにアクセスするためのカスタムポリシー

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "log:ListProject",
                "log:ListLogStore"
            ],
            "Resource": "acs:log:*:*:project/*"
        }
    ]
}

OSS イベントトリガーにアクセスするためのカスタムポリシー

{
  "Statement": [
    {
      "Action": [
        "oss:ListBucket",
        "oss:GetBucketEventNotification",
        "oss:PutBucketEventNotification",
        "oss:DeleteBucketEventNotification"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}

インターネットにアクセスできるサービスの作成を禁止するカスタムポリシー

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableServiceInternetAccess": "true"
        }
      }
    },
    {
      "Action": "fc:CreateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "fc:EnableServiceInternetAccess": "false"
        }
      }
    }
  ]
}

Simple Log Service にアクセスできないサービスの作成を禁止するカスタムポリシー

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableServiceSLSLogging": "false"
        }
      }
    },
    {
      "Action": "fc:CreateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "fc:EnableServiceSLSLogging": "true"
        }
      }
    }
  ]
}

インターネット経由でアクセスできるトリガーの作成を禁止するカスタムポリシー

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerInternet": "true"
        }
      }
    },
    {
      "Action": "fc:CreateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerInternet": "true"
        }
      }
    }
  ]
}

このポリシーは、CreateTrigger 操作と UpdateTrigger 操作で、ユーザーが disableURLInternet パラメーターを false に設定することを禁止します。 このパラメーターの値は、デフォルトのパブリックドメイン名がサポートされていないことを示す true にのみ設定できます。 この制限は、HTTP トリガーにのみ適用されます。 詳細については、「HTTPTriggerConfig」をご参照ください。

この場合、disableURLInternet=false を設定すると、403 AccessDenied エラーが報告されます。 次のコードは例を示しています。

{
  "statusCode":403,
  "Code":"AccessDenied",
  "Message":"the caller is not authorized to perform 'fc:CreateTrigger' on resource 'acs:fc:xx:xx:functions/xx/triggers/xx' with condition '[fc:EnableHTTPTriggerInternet=true]'"
}

匿名モードでアクセスできるトリガーの作成を禁止するカスタムポリシー

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerAnonymous": "true"
        }
      }
    },
    {
      "Action": "fc:CreateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerAnonymous": "true"
        }
      }
    }
  ]
}

このポリシーは、CreateTrigger 操作と UpdateTrigger 操作で、ユーザーが authType パラメーターを anonymous に設定することを禁止します。 このパラメーターの値は、認証が必要であることを指定する function にのみ設定できます。 この制限は、HTTP トリガーにのみ適用されます。 詳細については、「HTTPTriggerConfig」をご参照ください。

この場合、authType=anonymous を設定すると、403 AccessDenied エラーが報告されます。 次のコードは例を示しています。

{
  "statusCode":403,
  "Code":"AccessDenied",
  "Message":"the caller is not authorized to perform 'fc:CreateTrigger' on resource 'acs:fc:xx:xx:functions/xx/triggers/xx' with condition '[fc:EnableHTTPTriggerAnonymous=true]'"
}

HTTP リクエストを許可するカスタムドメイン名の作成を禁止するカスタムポリシー

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:CreateCustomDomain",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableCustomDomainHTTP": "true"
        }
      }
    },
    {
      "Action": "fc:UpdateCustomDomain",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableCustomDomainHTTP": "true"
        }
      }
    }
  ]
}

このポリシーは、CreateCustomDomain 操作と UpdateCustomDomain 操作で、ユーザーが protocol パラメーターを HTTP または HTTP,HTTPS に設定することを禁止します。 このパラメーターは HTTPS にのみ設定できます。

カスタムドメイン名で HTTP を有効にしようとすると、403 AccessDenied エラーが報告されます。 次のコードは例を示しています。

{
  "statusCode":403,
  "Code":"AccessDenied",
  "Message":"the caller is not authorized to perform 'fc:CreateCustomDomain' on resource 'acs:fc:xxx:xxx:custom-domains/xxx' with condition '[fc:EnableCustomDomainHTTP=true]'"
}