Microservices Engine:XXL-JOB の権限付与

権限付与スコープの要件

カスタムポリシーを作成する前に、次の要件に注意してください：

• サービスプレフィックス：XXL-JOB API アクションは、RAM ポリシー内で schedulerx3 のサービスプレフィックスを使用します。リソースパスでは、cluster リソースタイプが XXL-JOB インスタンスを指します。

• アカウントレベルのステートメント：ListClusters アクションはアカウントレベルの権限付与のみをサポートし、インスタンスレベルの権限でフィルタリングできません。すべてのポリシーでは、アカウントレベルのリソースパス acs:schedulerx3:*:*:* に対して schedulerx3:ListClusters を付与する必要があります。その他のすべてのアクションを 1 つのインスタンスに制限する場合でも、このステートメントは削除しないでください。

• インスタンスレベルのステートメント：その他のすべてのアクションは、インスタンスレベルおよびアクションレベルの権限付与をサポートします。単一インスタンスに権限を付与するには acs:schedulerx3:*:*:cluster/<instance-id> を使用します。すべてのインスタンスに権限を付与するには acs:schedulerx3:*:*:cluster/* を使用します。

• 値の例：次の例にある xxljob-0pp1j8om80a はインスタンス ID の例です。ご自身のインスタンス ID に置き換えてください。

ポリシーの選択

次の表は、各ユースケースと対応するポリシー例を示しています。

読み書きポリシーは schedulerx3:* を付与します。これには削除アクション DeleteCluster、DeleteApp、DeleteJobs が含まれます。ベストプラクティスとして、RAM ユーザーに必要最小限のスコープを付与してください。読み書きポリシーより読み取り専用ポリシーを優先し、すべてのインスタンスより単一インスタンスを優先してください。ワイルドカードではなく一部のアクションのみを付与するには、 XXL-JOB API actions の表にある個別のアクション名を指定してください。

ポリシー例

1 つのインスタンスに対して、RAM ユーザーに読み取りおよび書き込み権限を付与します：

{
  "Statement": [
    {
      "Action": "schedulerx3:ListClusters",
      "Resource": "acs:schedulerx3:*:*:*",
      "Effect": "Allow"
    },
    {
      "Action": "schedulerx3:*",
      "Resource": "acs:schedulerx3:*:*:cluster/xxljob-0pp1j8om80a",
      "Effect": "Allow"
    }
  ],
  "Version": "1"
}

1 つのインスタンスに対して、RAM ユーザーに読み取り専用権限を付与します：

{
  "Statement": [
    {
      "Action": "schedulerx3:ListClusters",
      "Resource": "acs:schedulerx3:*:*:*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "schedulerx3:List*",
        "schedulerx3:Get*"
      ],
      "Resource": "acs:schedulerx3:*:*:cluster/xxljob-0pp1j8om80a",
      "Effect": "Allow"
    }
  ],
  "Version": "1"
}

すべての XXL-JOB インスタンスに対して、RAM ユーザーに読み取り専用権限を付与します：

{
  "Statement": [
    {
      "Action": "schedulerx3:ListClusters",
      "Resource": "acs:schedulerx3:*:*:*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "schedulerx3:List*",
        "schedulerx3:Get*"
      ],
      "Resource": "acs:schedulerx3:*:*:cluster/*",
      "Effect": "Allow"
    }
  ],
  "Version": "1"
}

アカウントレベルの権限付与のみをサポートするアクション

次のアクションはアカウントレベルの権限付与のみをサポートし、インスタンスレベルの権限でフィルタリングできません。アカウントレベルのリソースパス acs:schedulerx3:*:*:* に対して付与してください。

インスタンスレベルおよびアクションレベルの権限付与をサポートするアクション

次のアクションは、インスタンスレベルの権限付与と、アクションレベルの RAM 権限をサポートします。