ApsaraDB for MongoDB:リソースグループに基づくきめ細かいリソース制御

用語

リソースグループレベルの権限付与の手順

次の例では、指定したリソースグループ内のApsaraDB for MongoDBリソースを管理する権限をRAMユーザーに付与する方法について説明します。

1. RAM コンソールにログインして、RAM ユーザーを作成します。

   詳細については、「RAM ユーザーの作成」をご参照ください。

2. リソース管理コンソールにログインし、[リソースグループ] ページに移動してリソースグループを作成します。

   詳細については、「リソースグループの作成」をご参照ください。

3. リソースをリソースグループに分類します。

   • リソースを作成する场合は, リソースが属するリソースグループを指定します。

   • 既存のリソースを使用する場合は、対応するリソースグループにリソースを転送します。 詳細については、「リソースグループ間の手動リソース転送の実行」をご参照ください。

4. RAMコンソールにログインし、カスタムポリシーを作成します。

   説明

   RAMユーザーにシステムポリシーをアタッチする場合は、この手順をスキップしてください。 実際のビジネス環境では、最小権限の原則に基づいて、RAMユーザーに必要な権限のみを付与することをお勧めします。 これにより、過剰なユーザー権限によるセキュリティリスクを防ぎます。

   作成されたカスタムポリシーには、RAMユーザーが必要とする操作権限が含まれている必要があります。詳細については、「カスタムポリシーの作成」をご参照ください。

   カスタムポリシーの例:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "dds:DescribeDBInstanceAttribute",
         "Resource": "*"
       }
     ]
   }

5. 有効範囲がリソースグループであるカスタムポリシーをRAMユーザーにアタッチします。

   次のいずれかの方法を使用して、RAMユーザーに権限を付与できます。

   • リソース管理コンソールにログインし、[リソースグループ] ページでリソースグループを選択します。 詳細については、「RAM権限の追加」をご参照ください。

     

   • RAMコンソールにログインし、[権限付与] パネルで [リソーススコープ] パラメーターを [ResourceGroup] に設定します。 詳細については、「RAMユーザーへの権限付与」をご参照ください。

     

リソースグループをサポートするリソースタイプ

次の表に、ApsaraDB for MongoDBのリソースグループをサポートするリソースタイプを示します。

リソースグループレベルの権限付与をサポートしないアクション

次の表に、ApsaraDB for MongoDBでリソースグループレベルの権限付与をサポートしないアクションと、そのアクションに対応するAPIを示します。

ApsaraDB for MongoDBのRAM権限付与の詳細については、「RAM権限付与」をご参照ください。

リソースグループをサポートしていないリソースタイプの場合、リソースグループに付与されている権限は有効になりません。 RAMコンソールでカスタムポリシーを作成し、リソーススコープパラメーターをアカウントに設定する必要があります。

次のサンプルコードは、2つのカスタムポリシーを示しています。 必要に応じてポリシーの内容を調整できます。

• 次のカスタムポリシーでは、リソースグループレベルの権限付与をサポートしない読み取り専用操作が許可されています。 カスタムポリシーの [アクション] フィールドには、リソースグループレベルの権限付与をサポートしないすべての読み取り専用操作が含まれます。

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dds:DescribeGlobalSecurityIPGroup",
          "dds:DescribePrice",        
          "dds:CheckServiceLinkedRole",
          "dds:DescribeKmsKeys",
          "dds:DescribeActiveOperationMaintenanceConfig"
        ],
        "Resource": "*"
      }
    ]
  }

• 次のカスタムポリシーでは、リソースグループレベルの権限付与をサポートしないすべての操作が許可されます。 カスタムポリシーの [アクション] フィールドには、リソースグループレベルの権限付与をサポートしないすべての操作が含まれます。

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dds:DescribeGlobalSecurityIPGroup",
          "dds:DescribePrice",        
          "dds:CheckServiceLinkedRole",
          "dds:DescribeKmsKeys",
          "dds:DescribeActiveOperationMaintenanceConfig",
          "dds:CreateGlobalSecurityIPGroup",
          "dds:ModifyGlobalSecurityIPGroup",
          "dds:ModifyGlobalSecurityIPGroupName",
          "dds:DeleteGlobalSecurityIPGroup",
          "dds:ModifyActiveOperationMaintenanceConfig"
        ],
        "Resource": "*"
      }
    ]
  }