各リソースグループに管理者を指定し、グループ内の他のユーザーに権限を付与します。
前提条件
リソースグループの権限付与を管理する権限を持つ Alibaba Cloud アカウントまたは RAM アイデンティティ (RAM ユーザーまたは RAM ロール) が必要です。
背景情報
リソースグループの権限付与と Resource Access Management (RAM) の関連性は以下の通りです：
-
RAM は、リソースグループの権限付与のための権限管理サービスを提供します。
-
リソースグループの権限付与は、システムポリシーやカスタムポリシーを含む、すべての RAM ポリシーを使用します。
-
リソースグループの権限付与は、RAM ユーザー、RAM ユーザーグループ、または RAM ロールに権限を付与します。
-
リソーススコープが [アカウントレベル] の場合、権限は現在の Alibaba Cloud アカウント内で有効になります。リソーススコープが [resource] の場合、権限は対応するリソースグループ内でのみ有効になります。
操作手順
権限は、リソース管理コンソールまたは RAM コンソールで付与できます。このトピックでは、リソース管理コンソールを例に説明します。
-
リソース管理コンソール にログインします。[リソースグループ] ページが表示されます。
-
[リソースグループ] ページで、対象のリソースグループの 操作 列にある 権限 をクリックします。
-
権限 タブで、権限の設定 をクリックします。
-
権限の設定 パネルで、プリンシパルとポリシーを設定し、[OK] をクリックします。
-
[リソース範囲]：デフォルトは現在のリソースグループです。権限はこのリソースグループ内でのみ適用されます。
-
[権限付与の対象]：権限を付与する RAM ユーザー、RAM ロール、または RAM ユーザーグループを選択します。
説明信頼されたエンティティを Alibaba Cloud サービスとする RAM ロール (サービスロール) には、リソースグループレベルの権限付与は有効になりません。STS を介してこのようなロールを引き受けて API コールを行うと、
Forbidden.RAMが返されます。信頼されたエンティティを Alibaba Cloud アカウントとする RAM ユーザー、RAM ユーザーグループ、および RAM ロールは影響を受けません。サービスロールに同等の権限を付与するには、後述の「サービスロールの代替策」をご参照ください。 -
[ポリシー名]：適用するシステムポリシーまたはカスタムポリシーを選択します。
-
結果
プリンシパルは、リソースグループ内のリソースに対して指定された権限を持つようになります。
サービスロールの代替策
信頼されたエンティティを Alibaba Cloud サービスとする RAM ロール (サービスロール) は、リソースグループレベルの権限付与を通じて権限を取得することはできません。代わりに、Condition 要素を含むカスタムポリシーを RAM ロールにアタッチし、リソースグループレベルの権限の代わりに アカウントレベル の権限を付与します。条件キーを使用してスコープを絞り、同等のリソース分離を実現します：
-
ecs:RequestTagを使用してリクエストに特定のタグを要求することで、そのタグを持つリソースのみを操作できるようにします。 -
VPC 関連の条件キーを使用して、ポリシーを特定の VPC に限定します。
-
インスタンスタイプ関連の条件キーを使用して、作成できるインスタンスタイプを制限します。
この設定後、STS を介して RAM ロールを引き受けて API コールを行うと、権限チェックに成功します。ポリシーでカバーされていない操作については、引き続き Forbidden.RAM が返されます。
関連ドキュメント
RAM コンソールで権限を付与するには、「RAM ユーザー権限の管理」、「RAM ユーザーグループへの権限付与」、および「RAM ロールの権限管理」をご参照ください。