Serverless App Engine:SAE 権限アシスタント

ステップ1：SAE コンソールでのポリシーの作成

1. SAE コンソールにログインし、左側メニューで を選択します。[Permission Assistant] ページで、[Create Policy] をクリックします。

2. [Create Policy] パネルの [Policy Configuration] ステップで、次のパラメーターを設定し、[Next] をクリックします。

   1. [Policy Name] と説明を入力します。

      パラメーター	説明
      ポリシー名	ポリシーのカスタム名。名前は英字で始まる必要があり、長さは 36 文字以内です。英字、数字、アンダースコア (_)、ハイフン (-) を含めることができます。
      説明	ポリシーの説明を入力します。

   2. [Add Statement] をクリックします。[Add Statement] パネルで、次のパラメーターを設定し、[OK] をクリックします。

      パラメーター	説明
      リソース	ドロップダウンリストからリソースディメンションを選択します。 リージョン：リージョンは 1 つだけ選択できます。 名前空間：名前空間は 1 つだけ選択できます。 アプリケーションまたはタスク： 1 つ以上のアプリケーションまたはタスクを選択できます。
      アクション	[Optional Permissions] ボックスで、付与する権限を選択します。選択した権限は [Selected Permissions] ボックスに表示されます。次の点にご注意ください。 [Search action] テキストボックスでは、あいまい検索が可能です。検索では大文字と小文字が区別されます。 デフォルトでは、[Selected Permissions] ボックスで [System Default Read Permissions] が選択されています。 読み取りアクションと書き込みアクションは連動しています。 などの書き込み権限を選択すると、関連する読み取り権限がシステムによって自動的に選択されます。

   [Policy Configuration] ステップでは、追加されたポリシーステートメントを表示し、[View Permissions]、[Clone]、[Edit]、[Delete] などの操作を実行できます。

   ポリシーステートメントは、[Resource] (リージョン、名前空間、アプリケーションを含む)、[Action]、[Operations] の列を持つテーブルに表示されます。

   説明

   • 複数の名前空間のリソースに権限を設定するには、名前空間ごとに個別のポリシーステートメントを追加してください。

   • 既存のポリシーステートメントをコピーするには、[Clone] をクリックしてください。[Clone] パネルで、ステートメントを変更して新しいステートメントを作成できます。

3. [Preview Policy] ステップで、生成されたポリシーステートメントを確認し、[OK] をクリックします。

   [Copy] をクリックして RAM ポリシーステートメントをコピーします。このステートメントは、ステップ2：カスタム RAM ポリシーの作成 で使用します。

   [Permission Assistant] ページに戻ります。新しく作成されたポリシーを表示し、[View Permissions]、[Copy RAM Authorization Statement]、[Edit]、[Delete] などの操作を実行できます。

   重要

   • SAE 権限アシスタントによって生成されるポリシーは、SAE リソースにのみ適用されます。ポリシーには、最大 20 個のステートメントを含めることができます。

   • SAE が新しい機能をリリースした場合、RAM ポリシーステートメントを再生成する必要がある場合があります。そうしないと、既存のポリシーを持つ RAM ユーザーがこれらの機能に対する権限が不足する可能性があります。

ステップ2：カスタム RAM ポリシーの作成

RAM コンソールでカスタムポリシーを作成する際は、ステップ1：SAE コンソールでのポリシーの作成 で生成されたポリシーステートメントを使用する必要があります。

1. RAM 管理者として RAM コンソールにログインします。

2. 左側メニューで、 > を選択します。

3. [Policies] ページで、[Create Policy] をクリックします。

4. [Create Policy] ページで、[JSON] タブをクリックします。

   JSON エディターが表示され、Version と Statement の要素を含むデフォルトのポリシーテンプレートが表示されます。Statement 要素には、Effect、Action、Resource、Condition の要素が含まれます。Action と Resource の要素でアクションとリソースを指定する必要があります。

5. JSON エディターに、SAE コンソールからコピーしたポリシーステートメントを貼り付けます。

   ポリシーの構文と構造の詳細については、「ポリシーの構造と構文」をご参照ください。

6. [Next: Edit Basic Information] をクリックして、ポリシーの内容を最適化します。

   高度なポリシー最適化機能は、次のタスクを実行します：

   • アクションと互換性のないリソースまたは条件を分割します。

   • リソースの範囲を絞り込みます。

   • ステートメントの重複を排除、またはマージします。

7. [OK] をクリックします。

8. [Policy Name] と説明を指定し、[OK] をクリックします。

ステップ3：RAM ユーザーへの権限付与

カスタムポリシーを作成した後、RAM ユーザーに権限を付与する必要があります。このセクションでは、ユーザーページで RAM ユーザーに権限を付与する方法について説明します。その他の方法の詳細については、「RAM ユーザーへの権限付与」をご参照ください。

1. RAM 管理者として RAM コンソールにログインします。

2. 左側メニューで、[Identities] > [Users] を選択します。

3. [Users] ページで、権限を付与する RAM ユーザーを見つけ、[Actions] 列の [Add Permissions] をクリックします。

   複数の RAM ユーザーを選択し、ユーザーリストの下部にある [Add Permissions] をクリックして、権限を一括で付与することもできます。

4. [Add Permissions] パネルで、RAM ユーザーに権限を付与します。

   1. 認可範囲を選択します。

      • [Alibaba Cloud Account] ：権限は現在の Alibaba Cloud アカウントに適用されます。

      • [Resource Group] ：権限は特定のリソースグループにのみ適用されます。

        重要

        リソースグループ固有の認可を有効にするには、対象のクラウドサービスがリソースグループをサポートしている必要があります。詳細については、「リソースグループをサポートするサービス」をご参照ください。リソースグループで権限を付与する方法の例については、「リソースグループを使用した特定の ECS インスタンスを管理する権限の RAM ユーザーへの付与」をご参照ください。

   2. プリンシパルを選択します。

      プリンシパルは、権限を付与する RAM ユーザーです。現在の RAM ユーザーがデフォルトで選択されています。

   3. ポリシーを選択します。

      ポリシーは権限のセットを定義します。複数のポリシーを選択できます。ポリシーは次のタイプに分類されます：

      • システムポリシー： Alibaba Cloud が作成および保守するポリシーです。システムポリシーは使用できますが、変更はできません。詳細については、「RAM と連携するサービス」をご参照ください。

        説明

        システムは、AdministratorAccess や AliyunRAMFullAccess などのリスクの高いシステムポリシーに警告を表示します。絶対に必要な場合を除き、これらの権限を付与しないでください。

      • カスタムポリシー：ユーザーが作成および管理できるポリシーです。ポリシーのバージョンはユーザーが管理し、ポリシーの作成、更新、削除ができます。詳細については、「カスタムポリシーの作成」をご参照ください。

   4. [OK] をクリックします。

5. [Complete] をクリックします。