OpenAPI Explorer:クロスアカウント API エラー診断の権限

ステップ 1：カスタムポリシーの作成

1. Alibaba Cloud アカウントまたは RAM 管理権限を持つ RAM ユーザーで、RAM コンソールにログオンします。

2. 左側のナビゲーションペインで、[権限] を選択し、[ポリシー] をクリックします。

3. [ポリシー] ページで、[ポリシーの作成] をクリックします。

4. [ポリシーの作成] ページで、[JSON] タブをクリックします。

   エディタには、Version が "1" で、ステートメント 配列に単一のオブジェクトが含まれたデフォルトのポリシーテンプレートが表示されます。このオブジェクトには、Effect が "Allow" で、空の Action、Resource、Condition 要素が含まれています。

5. エディターの内容を次のポリシーに置き換えて、[OK] をクリックします。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "openapiexplorer:GetRequestLog",
                   "ram:DecodeDiagnosticMessage"
               ],
               "Resource": "*"
           }
       ]
   }

   説明

   このポリシーにより、ユーザーは Alibaba Cloud アカウント内のすべての API 呼び出しログと権限不足に関する詳細情報を表示できます。

6. [ポリシー名]と[説明]を入力し、[OK] をクリックします。

ステップ 2： RAM ユーザーへの権限付与

次のいずれかの方法で RAM ユーザーに権限を付与します。

• RAM ユーザーに権限を付与するには、「RAM ユーザー権限の管理」をご参照ください。

• RAM ユーザーグループに権限を付与するには、「RAM ユーザーグループへの権限付与」をご参照ください。

ステップ 3：API 診断結果の表示

[OpenAPI Troubleshoot] に移動し、RequestId を入力して、[診断] をクリックします。

診断結果には、クラウドサービスが ECS、ErrorCode が Forbidden.RAM、ErrorMessage が RAM ユーザーに指定されたリソースの操作権限がないことが示されます。診断の詳細では、呼び出し元が ecs:ModifyInstanceAttribute アクションを試行した RAM ユーザーであり、判定が 権限不足 であることが特定されます。推奨される解決策は、管理者に連絡して、AliyunECSFullAccess や AliyunECSReadOnlyAccess などの関連するシステムポリシーを付与するか、カスタムポリシーを作成することです。

ステップ 1：アカウント A での RAM ロールの設定

1. RAM ロールを作成します。

   アカウント A でRAM コンソールにログオンします。[プリンシパルタイプ] を [クラウド アカウント] に設定して RAM ロールを作成します。詳細については、「信頼できる Alibaba Cloud アカウントの RAM ロールを作成する」をご参照ください。

   説明

   ロールの作成ページで、[プリンシパル名]には[その他のアカウント]を選択し、アカウント B の UID を入力します。

2. カスタムポリシーを作成します。

   手順については、前のセクションの「ステップ 1：カスタムポリシーの作成」をご参照ください。

3. RAM ロールに権限を付与します。

   前のステップで作成したカスタムポリシーを RAM ロールにアタッチします。詳細については、「RAM ロールの権限管理」をご参照ください。

ステップ 2：アカウント B での RAM ユーザーの設定

1. RAM ユーザーを作成します。

   アカウント B で RAM コンソールにログオンし、RAM ユーザーを作成します。詳細については、「RAM ユーザーの作成」をご参照ください。

   説明

   セキュリティのため、ニーズに応じて RAM ユーザーに 1 つのアクセスモードのみを設定してください。コンソールアクセスとプログラムによるアクセスは分けて管理します。

   この例では、[ログオン名] を GetApiLogUser、[表示名] を「別の Alibaba Cloud アカウントの API 呼び出しログを照会するため」に設定し、[アクセスモード] では [コンソールアクセス] と [プログラムによるアクセス] の両方を選択します。

2. RAM ユーザーに権限を付与します。

   RAM ユーザーに AliyunSTSAssumeRoleAccess ポリシーをアタッチします。このポリシーにより、ユーザーは任意の RAM ロールを引き受けることができます。詳細については、「RAM ユーザー権限の管理」をご参照ください。

   説明

   RAM ユーザーが特定の RAM ロールのみを引き受けられるようにする場合は、「RAM ロールと STS Token に関する FAQ」をご参照ください。

ステップ 3：ロールを引き受けて診断情報を表示

1. アカウント B の RAM ユーザーで RAM ユーザーログオンページにログオンします。

2. 右上隅にあるプロフィール画像にマウスカーソルを合わせ、[IDの切り替え] をクリックします。

3. [ロールの切り替え] ページで、アカウント A の UID と RAM ロール名を入力し、[送信] をクリックします。

4. API 診断情報を表示します。

   [OpenAPI Troubleshoot] に移動し、RequestId を入力して、[診断]をクリックします。

   診断結果には、クラウドサービスが ECS、ErrorCode が Forbidden.RAM、ErrorMessage が User not authorized to operate on the specified resource, or this API doesn't support RAM. と表示されます。診断の詳細では、リソースグループレベルのアイデンティティベースのポリシーによってアクセスが拒否されたことが示されます。また、呼び出し元が GetApiLogRole ロールでログインした状態で ecs:ModifyInstanceAttribute アクションを試行した RAM ユーザーであることも示されています。