Object Storage Service:リソースグループを使用した詳細なリソースコントロール

用語

リソースグループレベルの権限付与の手順

次の手順では、特定のリソースグループ内の OSS リソースを管理する権限を Resource Access Management (RAM) ユーザーに付与する方法について説明します。

1. RAM コンソールで RAM ユーザーを作成します。

   詳細については、「RAM ユーザーを作成する」をご参照ください。

2. リソースグループコンソールでリソースグループを作成します。

   詳細については、「リソースグループを作成する」をご参照ください。

3. 対応するリソースグループにリソースを割り当てます。

   • 新しいリソース: リソースを作成するときに、それが属するリソースグループを指定します。

   • 既存のリソース: 既存のリソースを対応するリソースグループに転送します。詳細については、「リソースグループへのリソースの手動転送」をご参照ください。

4. RAM コンソールでカスタムポリシーを作成します。

   RAM ユーザーに必要な操作権限を含むカスタムポリシーを作成します。詳細については、「カスタムポリシーの作成」をご参照ください。システムポリシーを RAM ユーザーに付与する場合は、このステップをスキップできます。

   重要

   本番環境では、最小権限の原則 (PoLP) に従ってください。過剰な権限によるセキュリティリスクを回避するために、RAM ユーザーには必要最小限の権限のみを付与してください。

   次のコードは、カスタムポリシーの例を示しています。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
             "oss:GetObject",
             "oss:PutObject"
         ],
         "Resource": "*"
       }
     ]
   }

5. 指定されたリソースグループに対する権限を RAM ユーザーに付与します。

   次のいずれかの方法で権限を付与できます:

   • リソースグループコンソールで権限を付与します。リソース範囲は、デフォルトで対応するリソースグループに設定されます。詳細については、「RAM ID へのリソースグループの権限付与」をご参照ください。

     

   • RAM コンソールで権限を付与できます。[リソース範囲] を選択するときは、必ず [リソースグループレベル] を選択してください。詳細については、「RAM ユーザーへの権限付与」をご参照ください。

     

リソースグループをサポートするリソースタイプ

OSS は、一部のリソースタイプのリソースグループをサポートしています。次の表に、サポートされているリソースタイプを示します。

リソースグループレベルの権限付与をサポートしない操作

次の表に、OSS でリソースグループレベルの権限付与をサポートしない操作 (アクション) とそれに対応する API 操作を示します。

OSS の RAM 権限付与の詳細については、「RAM ポリシーを使用した OSS へのアクセスの承認」をご参照ください。

リソースグループをサポートしないリソースタイプの場合、リソースグループレベルで権限を付与することはできません。権限を付与するには、カスタムポリシーを作成し、リソース範囲を [アカウントレベル] に設定する必要があります。

次のコードは、カスタムポリシーの 2 つの例を示しています。必要に応じてポリシーを変更できます。

• リソースグループレベルの権限付与をサポートしない読み取り専用操作を許可します。Action 要素には、リソースグループレベルの権限付与をサポートしないすべての読み取り専用操作がリストされます。

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "oss:DescribeRegions",
          "oss:ListUserDataRedundancyTransition",
          "oss:GetPublicAccessBlock",
          "oss:GetUserAntiDDosInfo",
          "oss:ListBucketAntiDDosInfo",
          "oss:ListResourcePools",
          "oss:GetResourcePoolInfo",
          "oss:ListResourcePoolBuckets",
          "oss:GetResourcePoolRequesterQoSInfo",
          "oss:ListResourcePoolRequesterQoSInfos"
        ],
        "Resource": "*"
      }
    ]
  }

• リソースグループレベルの権限付与をサポートしないすべての操作を許可します。Action 要素には、リソースグループレベルの権限付与をサポートしないすべての操作がリストされます。

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "oss:DescribeRegions",
          "oss:ListUserDataRedundancyTransition",
          "oss:PutPublicAccessBlock",
          "oss:GetPublicAccessBlock",
          "oss:DeletePublicAccessBlock",
          "oss:InitUserAntiDDosInfo",
          "oss:UpdateUserAntiDDosInfo",
          "oss:GetUserAntiDDosInfo",
          "oss:InitBucketAntiDosInfo",
          "oss:UpdateBucketAntiDDosInfo",
          "oss:ListBucketAntiDDosInfo",
          "oss:ListResourcePools",
          "oss:GetResourcePoolInfo",
          "oss:ListResourcePoolBuckets",
          "oss:PutResourcePoolRequesterQoSInfo",
          "oss:GetResourcePoolRequesterQoSInfo",
          "oss:ListResourcePoolRequesterQoSInfos",
          "oss:DeleteResourcePoolRequesterQoSInfo"
        ],
        "Resource": "*"
      }
    ]
  }