File Storage NAS:リソースグループによるきめ細かなアクセス制御

仕組み

リソースグループは、プロジェクトや環境ごとにリソースを整理します。リソースをグループ化したら、そのグループにのみ権限を限定する RAM ポリシーをアイデンティティ (RAM ユーザー、ユーザーグループ、ロールなど) にアタッチできます。詳細については、「リソースのグループ化と権限付与」をご参照ください。

このアプローチには、主に 2 つのメリットがあります。

• きめ細かなアクセス制御：アカウント全体の権限を付与する代わりに、アイデンティティのアクセスを特定のグループ内のリソースのみに制限できます。これにより、プロジェクト固有のワークロードを分離し、意図しないアクセスのリスクを軽減できます。

• 管理の簡素化：新しいリソースがリソースグループに追加されると、そのグループに限定された権限を持つ RAM アイデンティティは自動的にアクセスできます。新しいリソースが作成されるたびに RAM ポリシーを更新する必要はありません。

RAM ユーザーへのリソースグループレベルの権限付与

このセクションでは、特定のリソースグループ内のFile Storage NAS (NAS)リソースにのみアクセス権限を RAM ユーザーに付与する方法について説明します。

サポート対象リソース

以下のFile Storage NAS (NAS)リソースは、リソースグループレベルの権限付与をサポートしています。

サポート対象外アクション

以下のFile Storage NAS (NAS)アクションは、リソースグループレベルの権限付与をサポートしていません。

上記のアクションについては、 [Resource Scope] を [Account] に設定し、カスタムポリシーを作成する必要があります。

以下のポリシー例は、必要に応じてカスタマイズ可能です。

• 読み取り専用アクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "nas:DescribeAccessGroups",
          "nas:DescribeAccessRules",
          "nas:DescribeAutoSnapshotPolicies",
          "nas:DescribeAutoSnapshotTasks",
          "nas:DescribeBlackListClients",
          "nas:DescribeFileSystemBriefInfos",
          "nas:DescribeFileSystemFlowControlSetting",
          "nas:DescribeFileSystemStatistics",
          "nas:DescribeFilesystemsAssociatedHpnZones",
          "nas:DescribeFilesystemsVscAttachInfo",
          "nas:DescribeLogAnalysis",
          "nas:DescribeMountedClients",
          "nas:DescribeProtocolMountTarget",
          "nas:DescribeProtocolMountTarget007",
          "nas:DescribeProtocolService",
          "nas:DescribeRegions",
          "nas:DescribeResourceStatistics",
          "nas:DescribeSnapshots",
          "nas:DescribeStoragePackages",
          "nas:DescribeVscMountPointAttachInfo",
          "nas:DescribeVscMountPoints",
          "nas:DescribeZones",
          "nas:GetLifecycleRuleTimeRange",
          "nas:GetViperGrayConfig"
        ],
        "Resource": "*"
      }
    ]
  }
  

• フルアクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "nas:AddClientToBlackList",
          "nas:AddTags",
          "nas:ApplyAutoSnapshotPolicy",
          "nas:AttachVscMountPoint",
          "nas:AttachVscToFilesystems",
          "nas:BindStoragePackage",
          "nas:CancelAutoSnapshotPolicy",
          "nas:CancelLifecycleRetrieveJob",
          "nas:CancelRecycleBinJob",
          "nas:ClientMount",
          "nas:ClientRootAccess",
          "nas:ClientWrite",
          "nas:CreateAccessGroup",
          "nas:CreateAccessRule",
          "nas:CreateAutoSnapshotPolicy",
          "nas:CreateFile",
          "nas:CreateLDAPConfig",
          "nas:CreateLogAnalysis",
          "nas:CreateMountTargetInternal",
          "nas:CreateProtocolMountTarget",
          "nas:CreateProtocolService",
          "nas:CreateServicePolicy",
          "nas:CreateSnapshot",
          "nas:CreateVscMountPoint",
          "nas:DeleteAccessGroup",
          "nas:DeleteAccessRule",
          "nas:DeleteAutoSnapshotPolicy",
          "nas:DeleteLDAPConfig",
          "nas:DeleteLogAnalysis",
          "nas:DeleteMountTargetSpecial",
          "nas:DeleteProtocolMountTarget",
          "nas:DeleteProtocolService",
          "nas:DeleteSnapshot",
          "nas:DeleteVscMountPoint",
          "nas:DemoCloneTest",
          "nas:DescribeAccessGroups",
          "nas:DescribeAccessRules",
          "nas:DescribeAutoSnapshotPolicies",
          "nas:DescribeAutoSnapshotTasks",
          "nas:DescribeBlackListClients",
          "nas:DescribeFileSystemBriefInfos",
          "nas:DescribeFileSystemFlowControlSetting",
          "nas:DescribeFileSystemStatistics",
          "nas:DescribeFilesystemsAssociatedHpnZones",
          "nas:DescribeFilesystemsVscAttachInfo",
          "nas:DescribeLogAnalysis",
          "nas:DescribeMountedClients",
          "nas:DescribeProtocolMountTarget",
          "nas:DescribeProtocolMountTarget007",
          "nas:DescribeProtocolService",
          "nas:DescribeRegions",
          "nas:DescribeResourceStatistics",
          "nas:DescribeSnapshots",
          "nas:DescribeStoragePackages",
          "nas:DescribeVscMountPointAttachInfo",
          "nas:DescribeVscMountPoints",
          "nas:DescribeZones",
          "nas:DetachVscFromFilesystems",
          "nas:DetachVscMountPoint",
          "nas:GetLifecycleRuleTimeRange",
          "nas:GetViperGrayConfig",
          "nas:ModifyAccessGroup",
          "nas:ModifyAccessRule",
          "nas:ModifyAutoSnapshotPolicy",
          "nas:ModifyDataFlowTasks",
          "nas:ModifyLDAPConfig",
          "nas:ModifyProtocolMountTarget",
          "nas:ModifyProtocolService",
          "nas:OpenNasService",
          "nas:RemoveClientFromBlackList",
          "nas:ResetFileSystem",
          "nas:RetryLifecycleRetrieveJob",
          "nas:SetFileSystemFlowControl",
          "nas:TagResources",
          "nas:TestDemoDescribeProtocolMountTarget",
          "nas:TestDemoDescribeProtocolMountTarget03",
          "nas:TestDescribeProtocolMountTarget",
          "nas:TestDescribeProtocolMountTarget02",
          "nas:UnTagResources",
          "nas:UntagResources"
        ],
        "Resource": "*"
      }
    ]
  }
  

よくある質問