アクセスコントロールを使用してアカウントレベルで OOS リソースへのアクセスを管理する - CloudOps Orchestration Service

Resource Access Management (RAM) を使用して、RAM ユーザーまたは RAM グループを作成し、特定の権限ポリシーをアタッチすることで、アカウントレベルで CloudOps Orchestration Service (OOS) リソースへのアクセスを制御します。

ユースケース

RAM は、Alibaba Cloud が提供するアクセスコントロールサービスです。OOS へのアクセスを制御する一般的なユースケースには、以下のようなものがあります。

システム運用保守管理者: CloudOps Orchestration Service の管理者を作成し、その管理者グループに、テンプレートの作成、編集、実行権限を含む CloudOps Orchestration Service のすべての権限を付与できます。
テンプレート開発者：テンプレート開発者には、テンプレートを編集する権限が必要です。開発者または開発者グループに、CreateTemplate や UpdateTemplate などのアクションの呼び出しを許可するポリシーを付与できます。
テンプレートオペレーター：ユーザーを OOS テンプレートの実行のみに制限できます。
テンプレートレベルの認可：特定の RAM ユーザーまたは RAM グループに、テンプレートを実行する権限を付与できます。

RAM ユーザーへの PassRole 権限の付与

説明

OOS サービスに RAM ロールを設定して権限を付与すると、CloudOps Orchestration Service のみがこの RAM ロールの使用を承認されます。CloudOps Orchestration Service のサブアカウントは自動的には承認されません。サブアカウントは、ターゲット RAM ロールに対する PassRole 権限が付与された後にのみ、CloudOps Orchestration Service を介してターゲット RAM ロールを使用できます。

サブアカウントが、CloudOps Orchestration Serviceに委任されたすべての RAM ロールを使用できるようにするには、次のポリシーを作成してサブアカウントに付与します。
PassRole 権限を付与するポリシー
```
{
  "Version": "1",
  "Statement": [
    {
      "Action": "ram:PassRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "acs:Service": "oos.aliyuncs.com"
        }
      }
    }
  ]
}	
```
セキュリティ上の理由から、CloudOps Orchestration Serviceを使用する際に、サブアカウントを特定の RAM ロール (デフォルトの OOSServiceRole など) に制限する必要がある場合があります。この場合、次のポリシーを作成します。
渡すことができる RAM ロールを制限するポリシー
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::{parent_uid}:role/OOSServiceRole"
    }
  ]
}
```

注：

RAM ロールがテンプレート内にハードコーディングされており (デフォルトの OOSServiceRole など)、パラメーターとして渡されない場合、RAM ユーザーはテンプレートを実行するために PassRole 権限を必要としませんが、テンプレートを作成または更新するためには必要です。
RAM ロールがテンプレート実行時にパラメーターとして動的に指定され、テンプレート自体が RAM ロールを定義していない場合、RAM ユーザーはテンプレートを作成または更新するために PassRole 権限を必要としませんが、指定されたロールでテンプレートを実行するためには必要です。
上記のポリシーでは、{parent_uid} をご利用の Alibaba Cloud アカウント ID に置き換えてください。

ポリシー

ステップ 1：カスタムポリシーの作成

RAM コンソールにログインします。
左側のナビゲーションペインで、Permissions > Policiesを選択します。
ポリシーの作成 をクリックします。

[JSON] タブをクリックし、ポリシーの内容を貼り付け、OK をクリックします。

例 1： RAM ユーザーにテンプレートの実行を許可するが、編集は許可しない

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oos:List*",
                "oos:Get*",
                "oos:StartExecution",
                "oos:CancelExecution",
                "oos:NotifyExecution"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

例 2： RAM ユーザーにテンプレートの作成と編集を許可するが、実行は許可しない

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oos:List*",
                "oos:Get*",
                "oos:CreateTemplate",
                "oos:UpdateTemplate",
                "oos:ValidateTemplateContent"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

例 3: CloudOps Orchestration Service の管理者権限

{
    "Version": "1",
    "Statement": [
        {
            "Action": "oos:*",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "ram:PassRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "acs:Service": "oos.aliyuncs.com"
                }
            }
        }
    ]
}

ポリシーの作成 ページで、名前と説明を入力し、OK をクリックします。

ポリシーの作成後、ポリシーの詳細 をクリックしてその情報を表示します。ポリシーを変更するには、ポリシードキュメントの編集 をクリックします。

ステップ 2： RAM ユーザーへの権限付与

左側のナビゲーションペインで、Identities > Users を選択します。
目的の RAM ユーザーを見つけ、[操作] 列の 権限の追加 をクリックします。
Policies セクションで、必要なシステムポリシーまたはカスタムポリシーを選択します。
[OK] をクリックします。

ユースケース

RAM ユーザーへの PassRole 権限の付与

ポリシー

ステップ 1： カスタムポリシーの作成

ステップ 2： RAM ユーザーへの権限付与

ステップ 1：カスタムポリシーの作成