CloudOps Orchestration Service (OOS) は、実行するテンプレートによって異なる API 権限を必要とします。OOS の GenerateExecutionPolicy API を使用して各テンプレートが必要とする権限を取得し、最小権限を適用します。または、OOS サービスロールに他のクラウドサービスへの FullAccess 権限を付与することもできます。以下の手順で、OOS に他のクラウドサービスへのアクセス権限を付与します。
背景
RAM ユーザー (サブアカウント) に OOS へアクセスするための権限を付与するには、「アカウントアクセス制御」をご参照ください。
OOS は、OOS の一時的なトークンを使用して、他のクラウドサービスの API にアクセスします。RAM ロールを引き受けることで、OOS がリソースにアクセスすることを認可します。
RAM ロールが指定されていない場合、OOS はテンプレートを実行するアカウントの既存の権限を使用します。
RAM ロールが指定されている場合、OOS は指定されたロールを引き受けます。
手順
手順1：OOS が引き受ける RAM ロールの作成
表示されたダイアログボックスでロール名を入力し、 OK をクリックします。
手順2：RAM ロールへの権限の付与
新しく作成された RAM ロールには権限がありません。RAM ロールに権限を付与します。
RAM コンソール > [Identities] > [Roles] ページに移動します。
ロールリストで、OOS 用に作成した RAM ロール (例：OOSServiceRole) を見つけ、操作 列で 許可を与える をクリックします。
許可を与える パネルで、RAM ロールに権限ポリシーをアタッチするためのパラメーターを設定し、 [Grant permissions] をクリックします。主要なパラメーターは次のとおりです。
[プリンシパル]：現在の RAM ロールである OOS サービスロールに自動的に設定されます。
[権限ポリシー]：CloudOps Orchestration Service テンプレートが必要とするポリシーを選択します。テンプレートの実行に必要な RAM ポリシーを取得します。例：AliyunECSFullAccess は、すべての ECS API へのアクセスを許可します。
権限を付与したら、 閉じる をクリックします。