RAM ユーザーへの権限付与 - Managed Service for Prometheus - Alibaba Cloud ドキュメントセンター

リソースを共同で利用する場合は、複数の RAM ユーザーを作成し、ロールに基づいて異なる権限を付与します。これにより、異なる RAM ユーザーが特定のリソースを管理できるようになり、管理効率が向上し、情報漏洩のリスクが低減します。

前提条件

Application Real-Time Monitoring Service (ARMS) が有効化されています。詳細については、「ARMS の有効化」をご参照ください。
カスタム権限ポリシーを作成する前に、その基本的な構造と構文を理解しておく必要があります。詳細については、「権限ポリシーの要素」をご参照ください。

手順 1: RAM ユーザーにシステム権限ポリシーを追加する

RAM ユーザーに、Prometheus コンソールにログインするために必要な権限を付与します。

RAM 管理者として RAM コンソールにログインします。
左側のナビゲーションウィンドウで、[Identities] > [Users] を選択します。
［User］ページで、対象の RAM ユーザーを見つけ、［Add Permission］を［Operation］列でクリックします。

権限を新規付与する ページで、次のパラメーターを設定します。

Parameter	Description
リソース	Account を選択します。
権限付与の対象	権限を受け取るRAMユーザー。
権限付与ポリシー	AliyunARMSPrometheusAccessAuth を選択します。

Grant permissions をクリックし、次に Close をクリックします。

ステップ 2：カスタム権限ポリシーの作成

RAM 管理者として RAM コンソールにログインします。
左側のナビゲーションウィンドウで、権限管理 > 権限付与ポリシー を選択します。
権限付与ポリシー ページで、ポリシーの作成 をクリックします。

［ポリシーの作成］ページで、［Edit Script］タブをクリックします。ポリシーエディターにポリシーの内容を入力します。次の例のポリシーは、中国 (杭州) リージョン内の Prometheus インスタンスに対するすべての操作権限を付与します。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "arms:List*",
        "arms:Get*",
        "arms:Update*",
        "arms:Exe*",
        "arms:Create*",
        "arms:Del*",
        "arms:Add*",
        "arms:Check*",
        "arms:Delete*",
        "arms:Restart*",
        "arms:HealthCheck*",
        "arms:BindPrometheus*",
        "arms:install*"
      ],
      "Resource": "acs:arms:cn-hangzhou:*:prometheus/*"
    }
  ]
}

OK をクリックします。権限ポリシーの Name と備考を入力します。
OK をクリックします。

ステップ 3: RAM ユーザーのカスタム権限ポリシーを追加する

RAM 管理者として RAM コンソールにログインします。
左側のナビゲーションウィンドウで、[Identities] > [Users] を選択します。
User ページで、対象の RAM ユーザーを見つけ、Operation 列の Add Permission をクリックします。

[Add Permission] ページで、以下の表に従って RAM ユーザーに権限を付与します。

Parameter	Description
リソース	resource を選択します。権限は指定されたリソースグループ内で有効になります。
権限付与の対象	権限を付与されるRAMユーザー。
権限付与ポリシー	ステップ 2 で作成したカスタム権限ポリシーを選択します。

Grant permissions をクリックし、次に Close をクリックします。

ステップ 4：権限の確認

RAM ユーザーに権限ポリシーをアタッチした後、RAM ユーザーとして [ARMS コンソール] にログインして、権限を確認します。詳細については、「RAM ユーザーとして Alibaba Cloud 管理コンソールにログインする」をご参照ください。
ARMS コンソールで、Prometheus モニタリング を選択し、インスタンスリスト をクリックします。
インスタンスリスト ページで、をクリックして、承認済みのリソースグループ内のリソースを表示します。

上部のナビゲーションバーにある All Resources ドロップダウンリストを使用します。

説明
承認されていないリソースグループを表示しようとすると、「permission denied」というメッセージが表示されます。Close をクリックしてください。

関連操作

リソースグループにより、Prometheus リソースに対してきめ細かなアクセス制御が有効になります。

タグを使用して詳細な権限を設定するには、ステップ 2 で作成したカスタムポリシーを変更し、Condition を追加します。以下の例では、特定のタグを持つ Prometheus インスタンスに対する権限を付与しています。tagkey および tagvalue は実際の値に置き換えてください。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "arms:List*",
        "arms:Get*",
        "arms:Update*",
        "arms:Exe*",
        "arms:Create*",
        "arms:Del*",
        "arms:Add*",
        "arms:Check*",
        "arms:Delete*",
        "arms:Restart*",
        "arms:HealthCheck*",
        "arms:BindPrometheus*",
        "arms:install*"
      ],
      "Resource": "acs:arms:*:*:prometheus/*",
      "Condition": {
        "StringEquals": {
           "acs:RequestTag/tagkey": [
            "tagvalue"
          ]
        }
      }
    }
  ]
}

初めて Prometheus インスタンスリストに移動すると、「アクセスが拒否されました」メッセージが表示されます。

説明
これは、承認用のタグが選択されていないためです。
特定のタグを選択すると、インスタンスリスト を表示できるようになります。

ここで選択するタグは、カスタム権限ポリシーで定義されたタグと一致している必要があります。

Prometheus インスタンス一覧ページで、Filter by Tag ボタンをクリックします。ドロップダウンパネルでタグキーとタグ値を選択して、インスタンスをフィルターします。