デフォルトでは、Resource Access Management (RAM) ユーザーは EAS にアクセスできません。Alibaba Cloud アカウントで権限を付与する必要があります。システムポリシーを使用して完全なアクセス権限または読み取り専用権限を付与するか、カスタムポリシーを作成してきめ細かな権限付与を行うことができます。
背景情報
EAS は 3 つの認可方法を提供しています。要件に応じていずれかを選択できます。
-
EAS は、EAS の管理権限を付与する AliyunPAIEASFullAccess システムポリシーを提供します。このポリシーをアタッチすると、RAM ユーザーは EAS に完全にアクセスできるようになります。
-
EAS は、読み取り専用権限を付与する AliyunPAIEASReadOnlyAccess システムポリシーを提供します。このポリシーをアタッチすると、RAM ユーザーはデプロイ済みの EAS サービスを照会および閲覧できます。
-
2 つのシステムポリシーが要件を満たさない場合は、カスタムポリシーを作成して RAM ユーザーにきめ細かな権限を付与できます。たとえば、特定のデプロイ済みサービスまたは専用リソースグループのみを照会または変更する権限を付与できます。
RAM ユーザーへの EAS の管理権限の付与
管理権限を付与すると、RAM ユーザーは EAS のすべての操作を実行できるようになります。
-
RAM コンソールにログインします。
-
RAM ユーザーに EAS の管理権限を付与します。詳細については、「RAM ユーザーの権限管理」をご参照ください。
各項目を以下のように設定します。
-
[Resource Scope] を [Account Level] に設定します。
-
[Access Policy] を[システムポリシー] AliyunPAIEASFullAccess に設定します。
説明OSS の権限はセキュリティ上の機密性が高いため、AliyunPAIEASFullAccess ポリシーには含まれていません。RAM ユーザーが OSS を使用する必要がある場合は、別途 OSS の権限をユーザーに付与する必要があります。詳細については、「RAM ポリシーエディター」をご参照ください。
-
RAM ユーザーへの EAS の読み取り専用権限の付与
読み取り専用権限を付与すると、RAM ユーザーはデプロイ済みの EAS サービスを照会および閲覧できますが、変更や削除はできません。
-
RAM コンソールにログインします。
-
RAM ユーザーに EAS の読み取り専用権限を付与します。詳細については、「RAM ユーザーの権限管理」をご参照ください。
各項目を以下のように設定します。
-
[Resource Scope] を [Account Level] に設定します。
-
[Access Policy] を[システムポリシー] AliyunPAIEASReadOnlyAccess に設定します。
-
RAM ユーザーへのきめ細かな権限の付与
RAM ユーザーにデプロイ済みのサービスや専用リソースグループを照会または変更するためのきめ細かな権限を付与するには、カスタムポリシーを作成してアタッチします。
-
RAM コンソールにログインします。
-
カスタムポリシーを作成します。詳細については、「スクリプト編集モードでのカスタムポリシーの作成」をご参照ください。
重要RAM ユーザーが必要とする権限に基づいて、アクセスポリシーを慎重に定義する必要があります。
たとえば、スクリプトを次のように設定できます。
{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": "eas:CreateInstance", "Resource": "*" }, { "Effect": "Allow", "Action": [ "eas:DescribeService", "eas:DeleteService", "eas:UpdateService", "eas:UpdateServiceVersion" ], "Resource": [ "acs:eas:<region>:<uid>:service/eas-m-xxx1",// これは一例です。以下のアクセスポリシーの説明に基づいて変更してください。 "acs:eas:<region>:<uid>:service/eas-m-xxx2" ], } ] }スクリプト内の Action および Resource パラメーターの値の詳細については、このトピックの アクセスポリシーの説明 セクションをご参照ください。
-
作成したカスタムポリシーを RAM ユーザーにアタッチします。詳細については、「RAM ユーザーの権限管理」をご参照ください。
各項目を以下のように設定します。
-
[Resource Scope] を [Account Level] に設定します。
-
[Access Policy] を作成したカスタムポリシーに設定します。
-
アクセスポリシーの説明
アクセスポリシーは、アクションとリソースという 2 つの部分で構成されます。アクションパラメーターは実行する操作を指定し、リソースパラメーターは操作の対象となるオブジェクトを指定します。
アクション
以降のセクションでは、Action パラメーターに指定可能な値について説明します：
サービス関連
|
カテゴリ |
アクション |
説明 |
|
サービス関連 |
eas:CreateService |
モデルサービスの作成 |
|
eas:ListServices |
モデルサービス一覧の表示 |
|
|
eas:DescribeService |
モデルサービスの詳細表示 |
|
|
eas:DeleteService |
モデルサービスの削除 |
|
|
eas:DeleteServiceLabel |
モデルサービスのラベル削除 |
|
|
eas:ListServiceInstances |
モデルサービスのサービスインスタンス情報の表示 |
|
|
eas:DeleteServiceInstances |
モデルサービスのサービスインスタンスの削除 |
|
|
eas:UpdateService |
モデルサービスの更新またはバージョンの追加 |
|
|
eas:UpdateServiceVersion |
モデルサービスのバージョンの切り替え |
|
|
eas:StartService |
モデルサービスの開始 |
|
|
eas:StopService |
モデルサービスの停止 |
|
|
eas:UpdateService |
Update a model service |
|
|
eas:UpdateServiceLabel |
モデルサービスのラベル更新 |
|
|
eas:RestartService |
モデルサービスの再起動 |
|
|
eas:CreateServiceAutoScaler |
モデルサービスの自動スケーリングの有効化 |
|
|
eas:CreateServiceCronScaler |
モデルサービスのスケジュールに基づくスケーリングの有効化 |
|
|
eas:DeleteServiceAutoScaler |
モデルサービスの自動スケーリングの無効化 |
|
|
eas:DeleteServiceCronScaler |
モデルサービスのスケジュールに基づくスケーリングの無効化 |
|
|
eas:DescribeServiceAutoScaler |
モデルサービスの自動スケーリングステータスの表示 |
|
|
eas:DescribeServiceCronScaler |
モデルサービスのスケジュールに基づくスケーリング情報の表示 |
|
|
eas:UpdateServiceAutoScaler |
モデルサービスの自動スケーリング設定の更新 |
|
|
eas:UpdateServiceCronScaler |
モデルサービスのスケジュールに基づくスケーリング設定の更新 |
|
|
eas:CreateAppService |
アプリケーションサービスの作成 |
|
|
eas:UpdateServiceSafetyLock |
サービスセーフティロックの更新 |
|
|
eas:UpdateServiceInstance |
サービスインスタンスのプロパティの更新 |
|
|
eas:UpdateAppService |
アプリケーションサービスの更新 |
|
|
eas:DescribeServiceDiagnosis |
サービス診断の詳細表示 |
|
|
eas:DescribeServiceInstanceDiagnosis |
サービスインスタンス診断の詳細表示 |
|
|
eas:DescribeServiceEvent |
モデルサービスのデプロイイベントの照会 |
|
|
eas:DescribeGroup |
サービスグループの詳細表示 |
|
|
eas:ListServiceVersions |
サービスの履歴バージョンの照会 |
|
|
eas:ListServiceContainers |
サービスのコンテナ一覧の照会 |
|
|
eas:ListGroups |
サービスグループ一覧の表示 |
|
|
eas:CreateServiceMirror |
モデルサービスのトラフィックミラーリングの作成 |
|
|
eas:DescribeServiceMirror |
モデルサービスのトラフィックミラーリングステータスの表示 |
|
|
eas:UpdateServiceMirror |
モデルサービスのトラフィックミラーリング設定の更新 |
|
|
eas:DeleteServiceMirror |
モデルサービスのトラフィックミラーリングの無効化 |
|
|
eas:ReleaseService |
ブルーグリーンデプロイメントサービスのトラフィック比率の設定 |
|
|
eas:DescribeServiceLog |
モデルサービスのログ情報の表示 |
リソースグループ関連
|
カテゴリ |
アクション |
説明 |
|
リソースグループ関連 |
eas:CreateResource |
専用リソースグループの作成 |
|
eas:DescribeResource |
専用リソースグループの基本情報の表示 |
|
|
eas:ListResources |
専用リソースグループの一覧表示 |
|
|
eas:DeleteResource |
専用リソースグループの削除 |
|
|
eas:UpdateResource |
専用リソースグループの基本情報の更新 |
|
|
eas:ListResourceInstances |
専用リソースグループ内のマシンインスタンス一覧の表示 |
|
|
eas:ListResourceInstanceWorker |
専用リソースグループ内のマシンインスタンスによって作成されたコンテナ一覧の表示 |
|
|
eas:ListResourceServices |
専用リソースグループにデプロイされたサービスの表示 |
|
|
eas:CreateResourceInstances |
専用リソースグループ用のマシンインスタンスの作成 |
|
|
eas:UpdateResourceInstance |
専用リソースグループ内のマシンインスタンスの更新 |
|
|
eas:DeleteResourceInstances |
専用リソースグループからのマシンインスタンスの削除 |
|
|
eas:UpdateResourceDLink |
専用リソースグループの VPC 専用接続ステータスの更新 |
|
|
eas:DescribeResourceDLink |
専用リソースグループの VPC 専用接続ステータスの表示 |
|
|
eas:DeleteResourceDLink |
専用リソースグループの VPC 専用接続設定の削除 |
|
|
eas:CreateResourceLog |
専用リソースグループの SLS ログ配信の有効化 |
|
|
eas:DescribeResourceLog |
専用リソースグループの SLS ログ配信ステータスの表示 |
|
|
eas:DeleteResourceLog |
専用リソースグループの SLS ログ配信設定の削除 |
ストレステストタスク関連
|
カテゴリ |
アクション |
説明 |
|
ストレステストタスク関連 |
eas:CreateBenchmarkTask |
ストレステストタスクの作成 |
|
eas:DeleteBenchmarkTask |
ストレステストタスクの削除 |
|
|
eas:DescribeBenchmarkTask |
ストレステストタスクの詳細表示 |
|
|
eas:DescribeBenchmarkTaskReport |
ストレステストタスクのレポート表示 |
|
|
eas:ListBenchmarkTask |
ストレステストタスク一覧の照会 |
|
|
eas:StartBenchmarkTask |
ストレステストタスクの開始 |
|
|
eas:StopBenchmarkTask |
ストレステストタスクの停止 |
|
|
eas:UpdateBenchmarkTask |
ストレステストタスクの更新 |
プライベートゲートウェイ関連
|
カテゴリ |
アクション |
説明 |
|
プライベートゲートウェイ関連 |
eas:CreateGateway |
プライベートゲートウェイの作成 |
|
eas:DescribeGateway |
プライベートゲートウェイの詳細表示 |
|
|
eas:UpdateGateway |
プライベートゲートウェイの更新 |
|
|
eas:CreateGatewayIntranetLinkedVpc |
プライベートゲートウェイ用のプライベートネットワークアクセスエンドポイントの作成 |
|
|
eas:ListGatewayIntranetLinkedVpc |
プライベートゲートウェイ用のプライベートネットワークアクセスエンドポイント一覧の表示 |
|
|
eas:DeleteGatewayIntranetLinkedVpc |
プライベートゲートウェイ用のプライベートネットワークアクセスエンドポイントの削除 |
|
|
eas:DeleteGateway |
プライベートゲートウェイの削除 |
|
|
eas:ListPrivileges |
ユーザーのホワイトリスト設定の表示 |
リソース
以降では、Resource パラメーターに指定可能な値について説明します：
EAS では、Resource パラメーターの形式は次のとおりです。
acs:eas:<region>:<uid>:<resource_type>/<id>次のパラメーターを実際の値に置き換えます。
-
<region>：サービスまたは専用リソースグループがあるリージョン。
-
<uid>：操作を実行できるアカウントの UID。
-
<resource_type>：リソースタイプ。たとえば、サービス関連のリソースに対する操作の場合は service、リソースグループ関連のリソースに対する操作の場合は resource になります。
-
<id>：サービスまたは専用リソースグループの ID。
以下の例では、指定されたパブリックリソースグループにデプロイされたサービス、専用リソースグループにデプロイされたサービス、および指定された専用リソースグループで操作を実行するための Resource パラメーターの値を説明します。
-
指定されたデプロイ済みサービスで操作を実行する
-
パブリックリソースグループにデプロイされたサービスで操作を実行する
acs:eas:cn-hangzhou:123456789012****:service/eas-m-u12fxt9ml1syoj****前述の Resource パラメーターは、アカウント 123456789012**** によって中国 (杭州) リージョンのパブリックリソースグループにデプロイされた、ID が eas-m-u12fxt9ml1syoj**** のサービスを示します。
acs:eas:cn-hangzhou:123456789012****:service/your_service_name前述の Resource パラメーターは your_service_name という名前のサービスを指定します。このサービスは、アカウント 123456789012**** によって中国 (杭州) リージョンのパブリックリソースグループにデプロイされます。
-
専用リソースグループにデプロイされたサービスで操作を実行する
acs:eas:cn-shanghai:123456789012****:resource/eas-r-jksauxqjsai81****/service/eas-m-iaskn1skn1us****前述の [リソース] パラメーターは、アカウント 123456789012**** によって中国 (上海) リージョンにある ID が eas-r-jksauxqjsai8**** の専用リソースグループにデプロイされた、ID が eas-m-iaskn1skn1us**** のサービスを指定します。
acs:eas:cn-shanghai:123456789012****:resource/eas-r-jksauxqjsai81****/service/your_private_service前述の Resource パラメーターは、アカウント 123456789012**** によって中国 (上海) リージョンの ID が eas-r-jksauxqjsai8**** の専用リソースグループにデプロイされた、your_private_service という名前のサービスを指定します。
-
-
指定された専用リソースグループで操作を実行する
acs:eas:cn-beijing:123456789012****:resource/eas-r-jksauxqjsai8****前述の リソース パラメーターは、アカウント 123456789012**** に属する、中国 (北京) リージョン内の ID が eas-r-jksauxqjsai8**** の専用リソースグループを指定します。
-
一括認可
Resource フォーマットの任意の部分をアスタリスク (*) に置き換えることで、一括承認を実行できます。
以下は、一括承認のためのリソースの値の例です。
acs:eas:*:123456789012****:service/*この [Resource] パラメーターは、アカウント 123456789012**** に属する、すべてのリージョンにあるパブリックリソースグループ内のすべてのサービスを指定します。
acs:eas:cn-hangzhou:123456789012****:resource/eas-r-jksauxqjsai8****/*この Resource パラメーターは、中国 (杭州) リージョンで専用リソースグループ
eas-r-jksauxqjsai8****にデプロイされ、アカウント123456789012****に属するすべてのサービスを指定します。acs:eas:*:123456789012****:*このリソースパラメーターは、アカウント 123456789012**** に属する、全リージョンのすべてのリソースグループとサービスを指定します。
acs:eas:*:123456789012****:service/prefix*この リソース パラメーターは、アカウント 123456789012**** に属するすべてのリージョンにわたって、名前にプレフィックス
prefixが付いているパブリックリソースグループ内のサービスを指定します。