ApsaraDB RDS:RAM ユーザーへの RDS インスタンスのアクセス権限付与

操作手順

1. カスタムポリシーの作成

   1. RAM コンソールにログインします。

   2. 左側のナビゲーションバーで、権限管理 > 権限ポリシーを選択します。

   3. 権限ポリシーの作成 をクリックします。

   4. ビジュアル編集 または スクリプト編集 を選択します。

      ビジュアルエディター

      パラメーター	説明
      [効果]	RAM ユーザーが以降の設定を実行することを許可または拒否します。 たとえば、許可。
      [サービス]	対象の製品またはサービスを選択します。たとえば、 ApsaraDB for RDS を選択します。
      [操作]	アクションタイプを選択します: すべての操作 または アクションの指定。アクションの指定 を選択した場合は、すべての操作 セクションから許可するアクションを選択し、選択したアクション セクションに追加する必要があります。 読み取り操作 の下にある DescribeDBInstances も選択することをお勧めします。そうしないと、インスタンスリストを表示できません。 重要 アクションを選択しすぎたためにポリシードキュメントが長さ制限を超えた場合は、チケットを申請して制限の引き上げをリクエストできます。 例えば、すべての読み取り操作を選択します。
      [リソース]	リソースを選択します。 すべてのリソース または [特定のリソース] を選択できます。 リソースの指定 を選択した場合は、特定のリソースを追加する必要があります。右側の リソースの追加 をクリックして、リソース ARN 形式に基づいてリソースを照合します。具体的な方法は次のとおりです。 重要 権限ポリシーが確実に有効になるように、コンソールはアクションに必要なリソース ARN を必要としてマークします。これらのリソース ARN を設定することを強く推奨します。 たとえば、acs:rds:*:{#accountId}:dbinstance/* ARN は必須です。この ARN を設定しない場合、RAM ユーザーはインスタンスリストにインスタンスを表示できません。 acs:rds:{#regionId}:{#accountId}:dbinstance/{#dbinstanceId} (必須)：リージョン、アカウント、インスタンス ID でリソースを照合します。 acs:rds:{#regionId}:{#accountId}:dbinstance/*：リージョンとアカウントでリソースを照合します。 acs:rds:*:{#accountId}:dbinstance/* (必須)：アカウントでリソースを照合します。 acs:rds:*:{#accountId}:dbinstance/{#dbinstanceId} (必須)：アカウントとインスタンス ID でリソースを照合します。 説明 RAM は、ARN、リソースグループによる権限付与、タグによる権限付与などを使用した、きめ細かな権限付与をサポートしています。RAM ユーザーに特定の RDS インスタンスに対する読み取り専用権限を付与する方法の例については、「特定のRDS インスタンスに対する読み取り専用権限をRAM ユーザーに付与」をご参照ください。
      [条件]	ソース IP アドレスなどの条件を追加して、アクセスをさらに制限できます。詳細については、「ポリシーの要素」をご参照ください。

      JSON

      エディターに次の内容を入力します：

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": "rds:Describe*",
                  "Resource": "*"
              }
          ]
      }

      説明

      ビジュアル編集 よりも、関連する操作には Describe* を直接使用する方が便利です。

   5. OK をクリックし、ポリシーの作成 ダイアログボックスで ポリシー名 と 説明 を入力し、ポリシー内容が正しいことを確認してから、もう一度 OK をクリックします。

2. カスタムポリシーを RAM ユーザーにアタッチ

   1. 左側のナビゲーションバーで、アイデンティティ > ユーザーを選択します。

   2. 対象のユーザーを見つけ、右側の操作列で、権限の追加をクリックします。

   3. ポリシー セクションで、カスタムポリシー をクリックし、作成したポリシーを検索して選択します。

   4. Grant permissions をクリックします。

以上で設定は完了です。これで、RAM ユーザーでコンソールにログインし、RDS インスタンスの設定を表示できます。ビジネス要件に応じて、RAM ユーザーに他の権限を付与することもできます。

• RDS API のリストについては、「API 概要」をご参照ください。

• ポリシーの要素の詳細については、「ポリシーの要素」をご参照ください。