すべてのプロダクト
Search

このプロダクト

    Resource Management:コントロールポリシーの有効化

    ドキュメントセンター

    Resource Management:コントロールポリシーの有効化

    最終更新日:Aug 15, 2026

    コントロールポリシー機能を使用するには、最初に有効化する必要があります。

    コントロールポリシーの有効化による影響

    リソースディレクトリでコントロールポリシー機能を有効化すると、次の変更が発生します。

    • FullAliyunAccess システムポリシーが、リソースディレクトリ内の既存のすべてのフォルダーとメンバーに自動的にアタッチされます。このポリシーは、すべての Alibaba Cloud リソースへのフルアクセスを許可します。

    • フォルダーまたはメンバーを作成すると、 FullAliyunAccess システムポリシーが自動的にアタッチされます。

    • 招待された Alibaba Cloud アカウントがリソースディレクトリに参加すると、 FullAliyunAccess システムポリシーが新しいメンバーに自動的にアタッチされます。

    • メンバーを削除すると、そのメンバーにアタッチされているすべてのコントロールポリシーは自動的にデタッチされます。

    操作手順

    1. Resource Management コンソールにサインインします。

    2. 左側メニューで、リソースディレクトリ > 制御ポリシー を選択します。

    3. 制御ポリシーの有効化 をクリックします。

    4. 制御ポリシーの有効化 ダイアログボックスで、OK をクリックします。

    5. 更新 をクリックして、有効化ステータスを確認します。

    次のステップ

    コントロールポリシーを有効化した後、カスタムコントロールポリシーを作成して、特定のアクセス許可の境界を定義できます。たとえば、リソースに対する特定のアクションを拒否するポリシーを作成できます。次に、そのポリシーをリソースディレクトリ内のフォルダーまたはメンバーにアタッチできます。

    複数のプロダクト (OSS や VOD など) のアクセス許可を管理する必要がある場合は、明確さと保守性に基づいてポリシーの作成方法を選択してください。複数プロダクトのアクセス許可が密接に関連しており、常にまとめて付与する場合は、結合した 1 つのポリシーを作成できます。プロダクトごとのアクセス許可を個別に付与する可能性がある、または更新頻度が異なる場合は、プロダクトごとにポリシーを分割して作成してください。これにより、責任範囲を明確にし、誤設定リスクを低減し、柔軟なアクセス許可の組み合わせを実現できます。

    よくある質問

    Q：リージョンを制限する Simple Log Service (SLS) のコントロールポリシーを設定した後、コンソールに Project リストが表示されないのはなぜですか。

    原因：SLS ホームページの Project リストは、特定の読み取り専用のアクセス許可に依存します。必要な一覧取得のアクションを許可せずにリージョンのみを制限すると、コンソールは Project リストのデータを読み込めません。

    解決策：コントロールポリシーに、次のアクションを含む Allow ステートメントを追加します。Allow ステートメントには、次のアクションを含める必要があります。

    • log:ListProject

    • log:GetAcceleration

    • log:ListDomains

    • log:GetLogging

    • log:ListTagResources

    Resource 要素を acs:log:*:*:project/* に設定してください。これにより、リージョン制限が適用されている場合でも、Project リストが正しく表示されるようになります。

    Q：コントロールポリシー (SCP) で、Cloud Firewall や Security Center など特定のクラウドサービスの API 操作を制限できますか。

    A： 対応状況はクラウドサービスによって異なります。

    • Cloud Firewall： DisableInstance などの中核となる API 操作は、SCP に対応していることが明確に確認されていません。メンバーアカウント内でこれらの操作を制御するには、RAM アクセス許可ポリシーを使用することを推奨します。

    • Security Center： このサービスは SCP の制御システムに完全には統合されていません。一部の API 操作では、SCP を通じて設定した Deny ステートメントがサポートされない場合があります。

    • 特定のクラウドサービスに対してコントロールポリシーを設定する前に、そのサービスの API 操作が SCP システムに統合されているかどうかを確認してください。

    Q： acs:MFAPresent と acs:RequestTag の条件キーは、すべてのクラウドサービスで有効ですか。

    A： これらの条件キーが有効となる範囲は限定されています。

    • acs:MFAPresent： この条件キーは、MFA 検証をサポートする API に対してのみ有効です。すべての Delete 系 API がサポートしているわけではありません。たとえば、ECS の DeleteInstance API はこの条件キーをサポートしますが、他のサービスについては、API リファレンスで対応状況を確認する必要があります。

    • acs:RequestTag： この条件キーは、タグをサポートし、かつ当該条件キーのサポートを明示しているサービス (ECS、ApsaraDB RDS、Server Load Balancer (SLB) など) に対してのみ有効です。すべてのサービスが、リクエストに対するタグの強制をサポートしているわけではありません。

    • コントロールポリシーで条件キーを使用する前に、対象のクラウドサービスと API 操作がその条件キーをサポートしていることを確認してください。サポートされていない場合、ポリシーが想定どおりに機能しない可能性があります。

    Q：リソースディレクトリ内の組織単位 (OU) 配下にあるアイドルアカウントを自動的にクリーンアップするポリシーは、どのように設定すればよいですか。

    A： Alibaba Cloud Resource Management では、アイドルアカウントを自動的にクリーンアップする機能は提供されていません。代替手段として、CloudMonitor (CMS) を使用してアカウントのアクティビティを監視し、Operation Orchestration Service (OOS) または Function Compute を使用して定期的にアイドルアカウントを検出し、通知を送信できます。その後、管理者がアイドルであることを確認したアカウントを手動で閉鎖します。