リソースグループによるきめ細かなアクセス制御 - Network Intelligence Service

リソースグループを活用することで、Network Intelligence Service (NIS)リソースの一元管理が可能になり、RAM (Resource Access Management) ポリシーを用いたグループ単位でのきめ細かなアクセス制御を実現できます。これにより、Alibaba Cloud アカウントで最小権限の原則 (PoLP) を徹底できます。

説明

リソースグループレベルの権限設定は、サポート対象リソースタイプとアクションに限られます。サポート対象外アクションの場合、リソースグループに対するポリシーを指定しても無視されます。アクセス制御のため、アカウントに対するポリシーを設定する必要があります。

仕組み

リソースグループは、プロジェクトや環境ごとにリソースを整理します。リソースをグループ化したら、そのグループにのみ権限を限定する RAM ポリシーをアイデンティティ (RAM ユーザー、ユーザーグループ、ロールなど) にアタッチできます。詳細については、「リソースのグループ化と権限付与」をご参照ください。

このアプローチには、主に 2 つのメリットがあります。

きめ細かなアクセス制御：アカウント全体の権限を付与する代わりに、アイデンティティのアクセスを特定のグループ内のリソースのみに制限できます。これにより、プロジェクト固有のワークロードを分離し、意図しないアクセスのリスクを軽減できます。
管理の簡素化：新しいリソースがリソースグループに追加されると、そのグループに限定された権限を持つ RAM アイデンティティは自動的にアクセスできます。新しいリソースが作成されるたびに RAM ポリシーを更新する必要はありません。

RAM ユーザーへのリソースグループレベルの権限付与

このセクションでは、特定のリソースグループ内のNetwork Intelligence Service (NIS)リソースにのみアクセス権限を RAM ユーザーに付与する方法について説明します。

1. 前提条件

RAM ユーザーが作成されていること。
リソースグループを作成し、対象リソースがそのグループ内にあること。詳細については、「リソースグループの作成」、「リソースをリソースグループに自動追加」、および「リソースをリソースグループに手動で追加」をご参照ください。

2. 権限付与

リソースグループレベルの権限は、Resource Management コンソールまたは RAM コンソールのいずれかから付与できます。

Resource Management コンソール

Resource Management コンソールにログインします。
[Resource Group] ページで、対象のリソースグループを見つけ、[Actions] 列の [Manage Permission] をクリックします。
[Permissions] タブで、[Grant Permission] をクリックします。
[Grant Permission] パネルで、プリンシパルとアクセスポリシーを設定します。
- Principal：RAM ユーザーを選択します。
- Policy：[System Policy] または [Custom Policy] を選択します。詳細については、「カスタム権限ポリシーの作成」をご参照ください。
[Grant Permissions] をクリックします。

詳細については、「リソースグループに対する RAM アイデンティティへの権限付与」をご参照ください。

RAM コンソール

Alibaba Cloud アカウント (root ユーザー)または RAM 管理者アカウントを使用して、RAM コンソールにログインします。
左側のメニューで、[Identities] > [Users]を選択します。[Users] ページで、対象の RAM ユーザーを見つけ、[Actions] 列の [Add Permissions] をクリックします。
[Grant Permission] パネルで、RAM ユーザーに権限を追加します。
- Resource Scope：[Resource Group] を選択します。
- Principal：既存の RAM ユーザーまたは前のステップで作成した RAM ユーザーを選択します。
- Access Policy：[System Policy] または [Custom Policy] を選択します。詳細については、「カスタム権限ポリシーの作成」をご参照ください。
[OK] をクリックします。

詳細については、「RAM ユーザーへの権限付与」をご参照ください。

サポート対象リソース

以下のNetwork Intelligence Service (NIS)リソースは、リソースグループレベルの権限付与をサポートしています。

Alibaba Cloud サービス	サービスコード	リソースタイプ
Network Intelligence Service (NIS)	netana	diagnosis : 診断
Network Intelligence Service (NIS)	netana	networkpath : ネットワークパス

説明

上表に記載されていないリソースタイプのサポートをリクエストするには、Resource Management コンソールでフィードバックを送信してください。

サポート対象外アクション

以下のNetwork Intelligence Service (NIS)アクションは、リソースグループレベルの権限付与をサポートしていません。

アクション	説明
nis:ActiveNonPublicFlowAnalysis	-
nis:AddNisTrafficAnalyzerDataMapping	-
nis:BatchCreateFlowLogsToTrafficAnalyzer	-
nis:BatchUpdateFlowlogsForTrafficAnalyzer	-
nis:CheckFlowLogStatus	-
nis:CloseInsight	-
nis:CloseNetworkObservability	-
nis:CloseNis	-
nis:CloseNonPublicFlowAnalysis	-
nis:ConfigNetworkObservability	-
nis:CountNetworkPath	-
nis:CountNetworkResource	-
nis:CountNisEvent	-
nis:CreateAndAnalyzeNetworkPath	-
nis:CreateInsight	-
nis:CreateInspectionTask	-
nis:CreateNISTrafficAnalyzer	-
nis:CreateNisAssistantTask	-
nis:DeleteInsight	-
nis:DeleteNISTrafficAnalyzer	-
nis:DeleteNisAssistantSession	-
nis:DeleteNisAssistantTask	-
nis:DeleteNisInspectionReport	-
nis:DeleteNisInspectionTask	-
nis:DeleteNisMetricSubscription	-
nis:DescribeBatchFlowLogCacheTask	-
nis:DescribeInspectionObjectList	-
nis:DescribeInspectionReportDetail	-
nis:DescribeNISTrafficAnalyzer	-
nis:DescribeNetworkAnalyticsNetQuality	-
nis:DescribeNisInspectionRecommendationResources	-
nis:DescribeNisInspectionReportCheckItems	-
nis:DescribeNisInspectionReportStatus	-
nis:DescribeNisInspectionReportSummary	-
nis:DescribeNisInspectionTask	-
nis:DescribeNisMetricEnums	-
nis:DescribeNisTrafficRanking	-
nis:DescribeRegions	-
nis:DescribeTopologyNode	-
nis:DisableMultiAccount	-
nis:GetInsightPredictBytes	-
nis:GetInsightSummary	-
nis:GetInspectionSummary	-
nis:GetInternetFiveTupleHistory	-
nis:GetInternetMetric	-
nis:GetInternetQuality	-
nis:GetInternetScoreMetric	-
nis:GetInternetTopN	-
nis:GetInternetTuple	-
nis:GetMultiAccountStatus	-
nis:GetNatMetric	-
nis:GetNatTopN	-
nis:GetNetworkObservability	-
nis:GetNisEventDetail	-
nis:GetNisEventHistory	-
nis:GetNisNetworkMetrics	-
nis:GetNisNetworkRanking	-
nis:GetNisTrafficMetrics	-
nis:GetNisTrafficStatistics	-
nis:GetSameRegionSumBytes	-
nis:GetSameRegionTopN	-
nis:GetSameRegionVpcMetric	-
nis:GetTopoSummary	-
nis:GetTrafficAnalyzerOpenStatus	-
nis:GetTransitRouterFlowMetric	-
nis:GetTransitRouterFlowTopN	-
nis:GetVbrFlowMetric	-
nis:GetVbrFlowTopN	-
nis:IsOpenService	-
nis:ListDiagnosisInstance	-
nis:ListInsight	-
nis:ListInsightCycleIp	-
nis:ListInsightEvent	-
nis:ListInstance	-
nis:ListInternetEnum	-
nis:ListLatencyInfoBetweenClusters	-
nis:ListLatencyInfoBetweenRegions	-
nis:ListLatencyInfoBetweenZones	-
nis:ListMetricSubscriptions	-
nis:ListMultiAccount	-
nis:ListNISTrafficAnalyzers	-
nis:ListNisAssistantSessions	-
nis:ListNisAssistantTasks	-
nis:ListNisEvent	-
nis:ListNisInspectionResourceType	-
nis:ListNisInspectionTaskReports	-
nis:ListNisInspectionTasks	-
nis:ListNisTrafficAnalyzerDataMapping	-
nis:ListNisTrafficAnalyzerDataMappings	-
nis:ListNonPublicFlowAnalysis	-
nis:ListNoneInsightEvent	-
nis:ListSameRegionVpc	-
nis:ListTagResources	-
nis:ListTrafficAnalyzerFlowLogs	-
nis:ListTrafficAnalyzerMappingResources	-
nis:ModifyNisTrafficAnalyzerDataMapping	-
nis:OpenInsight	-
nis:OpenMultiAccount	-
nis:OpenNISTrafficAnalyzer	-
nis:OpenNonPublicFlowAnalysis	-
nis:RefreshMultiAccount	-
nis:RemoveNisTrafficAnalyzerDataMapping	-
nis:StartNisInspectionTask	-
nis:StartNisTrafficRanking	-
nis:StopNisAssistantTask	-
nis:SubmitNisAssistantTaskFeedback	-
nis:UpdateInsight	-
nis:UpdateInsightCycleIp	-
nis:UpdateInspectionObjects	-
nis:UpdateInspectionTaskStatus	-
nis:UpdateNISTrafficAnalyzer	-
nis:UpdateNisInspectionTask	-
nis:UpdateSameRegionFlowAnalysis	-

上記のアクションについては、 [Resource Scope] を [Account] に設定し、カスタムポリシーを作成する必要があります。

以下のポリシー例は、必要に応じてカスタマイズ可能です。

読み取り専用アクセスの許可

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "nis:CheckFlowLogStatus",
        "nis:CountNetworkPath",
        "nis:CountNetworkResource",
        "nis:CountNisEvent",
        "nis:DescribeBatchFlowLogCacheTask",
        "nis:DescribeInspectionObjectList",
        "nis:DescribeInspectionReportDetail",
        "nis:DescribeNISTrafficAnalyzer",
        "nis:DescribeNetworkAnalyticsNetQuality",
        "nis:DescribeNisInspectionRecommendationResources",
        "nis:DescribeNisInspectionReportCheckItems",
        "nis:DescribeNisInspectionReportStatus",
        "nis:DescribeNisInspectionReportSummary",
        "nis:DescribeNisInspectionTask",
        "nis:DescribeNisMetricEnums",
        "nis:DescribeNisTrafficRanking",
        "nis:DescribeRegions",
        "nis:DescribeTopologyNode",
        "nis:GetInsightPredictBytes",
        "nis:GetInsightSummary",
        "nis:GetInspectionSummary",
        "nis:GetInternetFiveTupleHistory",
        "nis:GetInternetMetric",
        "nis:GetInternetQuality",
        "nis:GetInternetScoreMetric",
        "nis:GetInternetTopN",
        "nis:GetInternetTuple",
        "nis:GetMultiAccountStatus",
        "nis:GetNatMetric",
        "nis:GetNatTopN",
        "nis:GetNetworkObservability",
        "nis:GetNisEventDetail",
        "nis:GetNisEventHistory",
        "nis:GetNisNetworkMetrics",
        "nis:GetNisNetworkRanking",
        "nis:GetNisTrafficMetrics",
        "nis:GetNisTrafficStatistics",
        "nis:GetSameRegionSumBytes",
        "nis:GetSameRegionTopN",
        "nis:GetSameRegionVpcMetric",
        "nis:GetTopoSummary",
        "nis:GetTrafficAnalyzerOpenStatus",
        "nis:GetTransitRouterFlowMetric",
        "nis:GetTransitRouterFlowTopN",
        "nis:GetVbrFlowMetric",
        "nis:GetVbrFlowTopN",
        "nis:IsOpenService",
        "nis:ListDiagnosisInstance",
        "nis:ListInsight",
        "nis:ListInsightCycleIp",
        "nis:ListInsightEvent",
        "nis:ListInstance",
        "nis:ListInternetEnum",
        "nis:ListLatencyInfoBetweenClusters",
        "nis:ListLatencyInfoBetweenRegions",
        "nis:ListLatencyInfoBetweenZones",
        "nis:ListMetricSubscriptions",
        "nis:ListMultiAccount",
        "nis:ListNISTrafficAnalyzers",
        "nis:ListNisAssistantSessions",
        "nis:ListNisAssistantTasks",
        "nis:ListNisEvent",
        "nis:ListNisInspectionResourceType",
        "nis:ListNisInspectionTaskReports",
        "nis:ListNisInspectionTasks",
        "nis:ListNisTrafficAnalyzerDataMapping",
        "nis:ListNisTrafficAnalyzerDataMappings",
        "nis:ListNonPublicFlowAnalysis",
        "nis:ListNoneInsightEvent",
        "nis:ListSameRegionVpc",
        "nis:ListTagResources",
        "nis:ListTrafficAnalyzerFlowLogs",
        "nis:ListTrafficAnalyzerMappingResources"
      ],
      "Resource": "*"
    }
  ]
}

フルアクセスの許可

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "nis:ActiveNonPublicFlowAnalysis",
        "nis:AddNisTrafficAnalyzerDataMapping",
        "nis:BatchCreateFlowLogsToTrafficAnalyzer",
        "nis:BatchUpdateFlowlogsForTrafficAnalyzer",
        "nis:CheckFlowLogStatus",
        "nis:CloseInsight",
        "nis:CloseNetworkObservability",
        "nis:CloseNis",
        "nis:CloseNonPublicFlowAnalysis",
        "nis:ConfigNetworkObservability",
        "nis:CountNetworkPath",
        "nis:CountNetworkResource",
        "nis:CountNisEvent",
        "nis:CreateAndAnalyzeNetworkPath",
        "nis:CreateInsight",
        "nis:CreateInspectionTask",
        "nis:CreateNISTrafficAnalyzer",
        "nis:CreateNisAssistantTask",
        "nis:DeleteInsight",
        "nis:DeleteNISTrafficAnalyzer",
        "nis:DeleteNisAssistantSession",
        "nis:DeleteNisAssistantTask",
        "nis:DeleteNisInspectionReport",
        "nis:DeleteNisInspectionTask",
        "nis:DeleteNisMetricSubscription",
        "nis:DescribeBatchFlowLogCacheTask",
        "nis:DescribeInspectionObjectList",
        "nis:DescribeInspectionReportDetail",
        "nis:DescribeNISTrafficAnalyzer",
        "nis:DescribeNetworkAnalyticsNetQuality",
        "nis:DescribeNisInspectionRecommendationResources",
        "nis:DescribeNisInspectionReportCheckItems",
        "nis:DescribeNisInspectionReportStatus",
        "nis:DescribeNisInspectionReportSummary",
        "nis:DescribeNisInspectionTask",
        "nis:DescribeNisMetricEnums",
        "nis:DescribeNisTrafficRanking",
        "nis:DescribeRegions",
        "nis:DescribeTopologyNode",
        "nis:DisableMultiAccount",
        "nis:GetInsightPredictBytes",
        "nis:GetInsightSummary",
        "nis:GetInspectionSummary",
        "nis:GetInternetFiveTupleHistory",
        "nis:GetInternetMetric",
        "nis:GetInternetQuality",
        "nis:GetInternetScoreMetric",
        "nis:GetInternetTopN",
        "nis:GetInternetTuple",
        "nis:GetMultiAccountStatus",
        "nis:GetNatMetric",
        "nis:GetNatTopN",
        "nis:GetNetworkObservability",
        "nis:GetNisEventDetail",
        "nis:GetNisEventHistory",
        "nis:GetNisNetworkMetrics",
        "nis:GetNisNetworkRanking",
        "nis:GetNisTrafficMetrics",
        "nis:GetNisTrafficStatistics",
        "nis:GetSameRegionSumBytes",
        "nis:GetSameRegionTopN",
        "nis:GetSameRegionVpcMetric",
        "nis:GetTopoSummary",
        "nis:GetTrafficAnalyzerOpenStatus",
        "nis:GetTransitRouterFlowMetric",
        "nis:GetTransitRouterFlowTopN",
        "nis:GetVbrFlowMetric",
        "nis:GetVbrFlowTopN",
        "nis:IsOpenService",
        "nis:ListDiagnosisInstance",
        "nis:ListInsight",
        "nis:ListInsightCycleIp",
        "nis:ListInsightEvent",
        "nis:ListInstance",
        "nis:ListInternetEnum",
        "nis:ListLatencyInfoBetweenClusters",
        "nis:ListLatencyInfoBetweenRegions",
        "nis:ListLatencyInfoBetweenZones",
        "nis:ListMetricSubscriptions",
        "nis:ListMultiAccount",
        "nis:ListNISTrafficAnalyzers",
        "nis:ListNisAssistantSessions",
        "nis:ListNisAssistantTasks",
        "nis:ListNisEvent",
        "nis:ListNisInspectionResourceType",
        "nis:ListNisInspectionTaskReports",
        "nis:ListNisInspectionTasks",
        "nis:ListNisTrafficAnalyzerDataMapping",
        "nis:ListNisTrafficAnalyzerDataMappings",
        "nis:ListNonPublicFlowAnalysis",
        "nis:ListNoneInsightEvent",
        "nis:ListSameRegionVpc",
        "nis:ListTagResources",
        "nis:ListTrafficAnalyzerFlowLogs",
        "nis:ListTrafficAnalyzerMappingResources",
        "nis:ModifyNisTrafficAnalyzerDataMapping",
        "nis:OpenInsight",
        "nis:OpenMultiAccount",
        "nis:OpenNISTrafficAnalyzer",
        "nis:OpenNonPublicFlowAnalysis",
        "nis:RefreshMultiAccount",
        "nis:RemoveNisTrafficAnalyzerDataMapping",
        "nis:StartNisInspectionTask",
        "nis:StartNisTrafficRanking",
        "nis:StopNisAssistantTask",
        "nis:SubmitNisAssistantTaskFeedback",
        "nis:UpdateInsight",
        "nis:UpdateInsightCycleIp",
        "nis:UpdateInspectionObjects",
        "nis:UpdateInspectionTaskStatus",
        "nis:UpdateNISTrafficAnalyzer",
        "nis:UpdateNisInspectionTask",
        "nis:UpdateSameRegionFlowAnalysis"
      ],
      "Resource": "*"
    }
  ]
}

重要

アカウントレベルの権限を付与すると、アカウント内のすべての関連リソースへのアクセスが許可されます。常に最小権限の原則に従ってください。

よくある質問

リソースがどのリソースグループに属しているかを確認するにはどうすればよいですか。

方法 1：所属サービスのコンソールで確認
- リソースが所属する Alibaba Cloud サービスのコンソールに移動します。通常、リソースの詳細ページの基本情報セクションにリソースグループが記載されています。
方法 2：Resource Management コンソールで確認
- Resource Management コンソールにログインします。
- [Resource Center] > [Resource Search]を選択します。
- 左側のメニューで、対象リソースを所有するアカウントを選択します (デフォルトは [Current Account]) を選択します。
- フィルター条件を使用してリソースを検索します。
- [Resource Group Name] 列に、リソースが属するグループが表示されます。

特定のリソースグループ内のすべてのリソースを表示するにはどうすればよいですか。

方法 1：
- Resource Management コンソールにログインします。
- [Resource Center] > [Resource Search]を選択します。
- 左側のメニューで、リソースを所有するアカウント (デフォルトは [Current Account]) の下にある、対象のリソースグループ名をクリックします。
- 右側の画面で、[Select resource types] ドロップダウンリストからクラウドサービスを選択します。
- そのグループ内のすべてのリソースが表示されます。
方法 2：
- Resource Management コンソールにログインします。
- [Resource Group] > [Resource Group]を選択します。
- 対象のリソースグループを見つけ、[Actions] 列の [Manage Resource] をクリックします。
- リソース管理ページで、[Service] ドロップダウンリストからクラウドサービスを選択します。
- そのグループ内のすべてのリソースが表示されます。

複数のリソースを別のリソースグループに一括で移動するにはどうすればよいですか。

Resource Management コンソールにログインします。
左側のメニューで、 [Resource Group] > [Resource Group] を選択します。
対象のリソースグループを見つけ、[Actions] 列の [Manage Resource] をクリックします。
リソース管理ページで、フィルター条件を使用して移動したいリソースを検索します。
移動したいリソースのチェックボックスを選択します。
ページ下部にある [Transfer] をクリックします。
ダイアログボックスで、移動先のリソースグループを選択し、 [Confirm] をクリックします。