Serverless App Engine:操作承認

ステップ1： RAMユーザーへの権限付与

1. カスタム権限ポリシーの作成

1. Alibaba Cloud アカウントでRAM コンソールにログインします。左側のナビゲーションウィンドウで、 を選択します。[ポリシー] ページで、[ポリシーの作成] をクリックします。

2. [ポリシーの作成] ページで、[JSON] タブをクリックします。次のポリシーをエディターに貼り付け、[次へ進み、ポリシー情報を編集] をクリックします。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "sae:*OperationApproval*"
         ],
         "Resource": [
           "acs:sae:*:*:*"
         ]
      }
     ]
   }

3. [ポリシー情報の編集] ページで、カスタムポリシーの [名前] と [メモ] を指定し、[OK] をクリックします。

2. RAMユーザーへの権限付与

1. 左側のナビゲーションウィンドウで、 を選択します。[ユーザー] ページで、対象ユーザーのログイン名をクリックします。

2. ユーザー詳細ページで、[権限] タブをクリックします。[ユーザーポリシー] タブで、[権限の付与] をクリックします。

3. [権限の付与] パネルで、[カスタムポリシー] タブをクリックし、作成したカスタムポリシーを選択して、[OK] をクリックします。

   [追加済み] セクションで、権限を確認し、[権限の付与] をクリックします。

   権限を付与した後、RAM ユーザーの詳細ページの [ユーザーポリシー] タブで権限を確認できます。

ステップ2： 承認ルールの作成

承認を管理する Alibaba Cloud アカウントと RAM ユーザーの両方が承認ルールを作成する必要があります。

1. SAE コンソールにログインします。左側のナビゲーションウィンドウで、 を選択します。

2. 左側のナビゲーションウィンドウで、[承認設定] をクリックします。[承認設定] ページで、[承認設定の作成] をクリックします。

3. [承認設定の作成] パネルで、次のパラメーターを設定し、[OK] をクリックします。

   1. 承認範囲設定：

      • リソース：ドロップダウンリストから [リージョン]、[名前空間]、[アプリケーション] を選択してリソースをフィルタリングします。

        • リージョン：[すべてのリージョン] または特定のリージョンを選択できます。

          • [すべてのリージョン] を選択した場合、すべてのリージョンのすべての名前空間内のすべてのアプリケーションがデフォルトで選択されます。

          • 特定のリージョンを選択した場合、名前空間とアプリケーションを選択してさらにフィルタリングできます。

        • 名前空間：[すべての名前空間] または特定の名前空間を選択できます。

          • [すべての名前空間] を選択した場合、対象リージョン内のすべての名前空間内のすべてのアプリケーションがデフォルトで選択されます。

          • 特定の名前空間を選択した場合、特定のアプリケーションをフィルタリングできます。

        • アプリケーションまたはタスク：すべてのアプリケーション、または 1 つ以上の特定のアプリケーションを選択できます。

      • 操作タイプ：[変更の公開] タイプのみがサポートされています。これには、[Deploy Application] および [Roll Back to a Previous Version] アクションが含まれます。

   2. ホワイトリスト設定：ドロップダウンリストから、対象の RAM ユーザーを選択します。複数のユーザーを選択でき、あいまい検索も利用できます。

      ホワイトリストに登録された RAM ユーザーは、承認を必要とせずに承認範囲内のアプリケーションに対して操作を実行できます。

   3. 承認者設定：[承認者] ドロップダウンリストから、1 人以上の承認者を選択します。

      説明

      • 承認者になれるのは連絡先のみです。必要なアカウントがドロップダウンリストにない場合は、[連絡先管理] をクリックして追加してください。詳細については、「連絡先の管理」をご参照ください。

      • Alibaba Cloud アカウントは、すべてのルールのデフォルトの承認者です。すべての承認通知を受信し、すべての承認記録を管理できます。Alibaba Cloud アカウント所有者の連絡先情報を追加しない場合、所有者は承認通知を受信しませんが、承認操作を実行できます。

      • Alibaba Cloud アカウントは、すべての RAM ユーザーを承認者として追加できます。RAM ユーザーが ListUsers 権限を持っていない場合、自分自身のみを連絡先として追加できます。ListUsers 権限を持っている場合は、他の RAM ユーザーを連絡先として追加できます。権限の付与方法の詳細については、「RAMユーザーへの権限付与」をご参照ください。

4. オプション：[承認設定] ページで、既存の承認ルールを [編集] または [削除] できます。

   • 編集：[アクション] 列で、[編集] をクリックします。[承認設定の変更] パネルで、パラメーターを変更します。

     例えば、Alibaba Cloud アカウントが承認者 A と B を含む承認ルールを作成します。このルールは 1 か月間実行され、10 件の承認記録が生成され、そのうち 3 件が承認待ちのままです。その後、Alibaba Cloud アカウントがルールを更新し、承認者 B を C に置き換えます。その後、5 件の新しい承認記録が生成され、承認待ちの記録の合計は 8 件になります。承認者 B は元の 3 件の承認待ち記録を担当し続けますが、新しい 5 件を承認することはできません。逆に、承認者 C は新しい 5 件の記録のみを承認でき、元の 3 件は承認できません。

   • 削除：[アクション] 列で、[削除] をクリックします。表示されるダイアログボックスで、[OK] をクリックします。

ステップ3： RAMユーザーによるアプリケーションの変更

RAM ユーザーのデプロイプロセスは、承認ルールが設定されているかどうかによって異なります。

• 承認ルールがない場合：RAM ユーザーは承認を必要とせずに、リソースを直接操作できます。

• 承認ルールがある場合：RAM ユーザーが一致する承認ルールのホワイトリストに登録されていない場合、その操作を続行するには承認が必要です。次の手順を実行します。

1. RAM ユーザーでSAE コンソールにログインします。左側のナビゲーションウィンドウで、 を選択します。次に、対象のリージョンと名前空間を選択し、対象のアプリケーション名をクリックします。

2. アプリケーションを変更します。

   アプリケーションのデプロイ

   1. 対象のアプリケーションの [基本情報] ページで、[Deploy Application] をクリックします。次に、必要に応じて設定を変更し、リリース戦略を選択します。

      SAE は、[段階的リリース] および [カナリアリリース] 戦略に対応しています。詳細については、「単一バッチでのアプリケーションのデプロイ」、「バッチでのアプリケーションのデプロイ」、および「カナリアリリースによるアプリケーションのデプロイ」をご参照ください。

   2. [OK] をクリックします。

   バージョンのロールバック

   1. 対象のアプリケーションの [基本情報] ページで、[Roll Back to a Previous Version] をクリックします。

   2. [Roll Back to a Previous Version] パネルで、ロールバック先のバージョンを選択し、リリース戦略を設定して、[OK] をクリックします。詳細については、「以前のバージョンへのロールバック」をご参照ください。

3. アプリケーションのデプロイを開始すると、[Deploy Application Request] ダイアログボックスが表示され、変更リクエストが送信された旨が示されます。[OK] をクリックし、[承認記録] ページで承認の進行状況を確認できます。

   [Roll Back to a Previous Version] を実行した場合、このダイアログボックスは表示されません。[変更の詳細] ページで詳細を直接確認できます。

   [連絡先管理] ページで連絡方法を設定して、承認時に SMS 通知を受信することもできます。

   説明

   承認リクエストを送信した後、アプリケーションの [変更の詳細] ページを確認してください。承認者が対応するまで、この変更の実行ステータスは [承認待ち] のままです。

   • 承認者がリクエストを承認した場合：[変更の詳細] ページの 実行ステータス が [承認済み] に変わります。その後、[Deploy Application] をクリックして、変更が完了するまで待ちます。

   • 承認者がリクエストを拒否した場合：[変更の詳細] ページの 実行ステータス が自動的に [実行中止] に変わります。拒否理由の確認方法については、以下のオプションの手順をご参照ください。

4. オプション：左側のナビゲーションウィンドウで、 を選択します。[承認記録] ページで、[自分の申請] タブをクリックして、承認の進行状況を確認できます。

   [承認記録] ページの [自分の申請] タブでは、次の操作を実行できます。

   • リマインダーの送信：[アクション] 列で、[リマインダー] をクリックします。表示されるダイアログボックスで、[OK] をクリックして、承認者にリマインダーを送信します。

   • リクエストのキャンセル：[アクション] 列で、[キャンセル] をクリックします。表示されるダイアログボックスで、[OK] をクリックし、変更リクエストを取り下げます。

   • 変更対象アプリケーションの表示：[名前空間: アプリケーション] 列のアプリケーション名をクリックして、対象のアプリケーションの [基本情報] ページに移動します。

   • 拒否理由の表示：[拒否] の横にあるアイコンにカーソルを合わせると、拒否理由が表示されます。

ステップ4： 承認者としての承認記録の管理

1. 承認権限を持つアカウントでSAE コンソールにログインします。左側のナビゲーションウィンドウで、 を選択します。

2. 左側のナビゲーションウィンドウで、[承認記録] をクリックします。[承認待ち] タブで、他の RAM ユーザーが送信した変更リクエストを管理します。

   オプション：このページでは、次の操作を実行できます。

   • 詳細の表示：対象の記録の [アクション] 列で、[詳細の表示] をクリックして、アプリケーション変更の詳細を表示します。

   • 承認：対象の記録の [アクション] 列で、[承認] をクリックします。表示されるダイアログボックスで、[OK] をクリックし、変更リクエストを承認します。

   • 拒否：[アクション] 列で、[拒否] をクリックします。[承認拒否の確認] ダイアログボックスで、拒否理由を入力し、[OK] をクリックします。

   • 移管：[アクション] 列で、[移管] をクリックします。[承認の移管] ダイアログボックスで、新しい承認者を選択し、[OK] をクリックします。

   説明

   承認待ちの記録が複数ある場合、対象の記録の横にあるチェックボックスにチェックを入れ、[一括承認]、[一括拒否]、または [一括移管] 操作を実行できます。

3. 関連操作：[承認記録] ページの [処理済み] タブでは、処理した変更リクエストを確認できます。また、[名前空間: アプリケーション] 列のアプリケーション名をクリックして、アプリケーションの [基本情報] ページに移動し、詳細を確認できます。