Secure Access Service Edge (SASE) を初めてご利用になる前に、SASE がご利用のクラウドリソースにアクセスするために必要な権限を付与してください。
前提条件
-
SASE を有効化済みであること。
-
Alibaba Cloud アカウントまたはサービスリンクロールの作成および削除権限を持つ RAM ユーザーを使用していること。
背景情報
SASE を初めてご利用になると、Alibaba Cloud は自動的に AliyunServiceRoleForCsas という名前の サービスリンクロール を作成し、SASE がご利用者に代わって他の Alibaba Cloud サービスにアクセスできるようにします。手動での作成や変更は不要です。詳細については、「サービスリンクロール」をご参照ください。
操作手順
Secure Access Service Edge コンソール にログインします。
-
Welcome to SASE ダイアログボックスで、[Confirm Authorization] をクリックします。
Secure Access Service Edge を有効化した後、コンソールに初めてログインすると、Secure Access Service Edge がサービスリンクロールの作成を案内します。
[Confirm Creation] をクリックすると、Alibaba Cloud により、SASE のサービスリンクロール
AliyunServiceRoleForCsasが自動的に作成されます。このロールは、RAM コンソール の ロール ページで確認できます。SASE インスタンスが IDaaS や SAG などのクラウドサービスにアクセスできるのは、このロールが作成された後のみです。
SASE サービスリンクロール
secure access service edge サービスリンクロールには、以下の属性があります。
-
ロール名：
AliyunServiceRoleForCsas -
ポリシー名：
AliyunServiceRolePolicyForCsas説明これはシステムポリシーです。ポリシー名およびその内容を変更することはできません。
-
ポリシー例：
{ "Version": "1", "Statement": [ { "Action": [ "ecs:DescribeInstances", "ecs:CreateSecurityGroup", "ecs:DeleteSecurityGroup", "ecs:AuthorizeSecurityGroup", "ecs:DescribeSecurityGroups", "ecs:DescribeSecurityGroupReferences", "ecs:ModifySecurityGroupPolicy", "ecs:ModifySecurityGroupRule", "ecs:ModifySecurityGroupEgressRule", "ecs:CreateNetworkInterface", "ecs:DeleteNetworkInterface", "ecs:DescribeNetworkInterfaces", "ecs:CreateNetworkInterfacePermission", "ecs:DescribeNetworkInterfacePermissions", "ecs:DeleteNetworkInterfacePermission", "ecs:AttachNetworkInterface", "ecs:DetachNetworkInterface", "ecs:RevokeSecurityGroup" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "rds:DescribeDBInstances", "rds:DescribeSecurityGroupConfiguration", "rds:ModifySecurityGroupConfiguration", "rds:DescribeDBInstanceIPArrayList", "rds:ModifySecurityIps" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "kvstore:DescribeInstances", "kvstore:DescribeGlobalDistributeCache", "kvstore:DescribeSecurityIps", "kvstore:ModifySecurityIps", "kvstore:DescribeSecurityGroupConfiguration", "kvstore:ModifySecurityGroupConfiguration" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "dds:DescribeDBInstances", "dds:DescribeSecurityIps", "dds:ModifySecurityIps", "dds:DescribeSecurityGroupConfiguration", "dds:ModifySecurityGroupConfiguration" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "polardb:DescribeDBClusters", "polardb:DescribeDBClusterAccessWhitelist", "polardb:ModifyDBClusterAccessWhitelist" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "vpc:DescribeVpcs", "vpc:DescribeVSwitches", "vpc:CreateVpc", "vpc:DeleteVpc", "vpc:CreateVSwitch", "vpc:DeleteVSwitch", "vpc:DescribeZones", "vpc:DescribePhysicalConnections", "vpc:DescribeVirtualBorderRouters", "vpc:DescribeVirtualBorderRoutersForPhysicalConnection", "vpc:DescribeVpnGateways", "vpc:DescribeVpnGateway", "vpc:DescribeCustomerGateways", "vpc:DescribeVpnConnections", "vpc:DescribeVpcAttribute", "vpc:DescribeRouteTables", "vpc:DescribeRouteTableList", "vpc:DescribeRouteEntryList" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "cen:DescribeCens", "cen:DescribeCenAttachedChildInstances", "cen:DescribeCenAttachedChildInstanceAttribute", "cen:AttachCenChildInstance", "cen:DetachCenChildInstance", "cen:GrantInstanceToCen", "cen:RevokeInstanceFromCen" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "smartag:CreateSmartAGTrafficService", "smartag:UpdateSmartAGTrafficService", "smartag:DeleteSmartAGTrafficSerivce", "smartag:ListSmartAGTrafficService", "smartag:DescribeSmartAccessGateways", "smartag:DescribeCloudConnectNetworks", "smartag:CreateCloudConnectNetwork", "smartag:ModifyCloudConnectNetwork", "smartag:DeleteCloudConnectNetwork", "smartag:CreateSmartAccessGatewaySoftware", "smartag:UpgradeSmartAccessGatewaySoftware", "smartag:DowngradeSmartAccessGatewaySoftware", "smartag:BindSmartAccessGateway", "smartag:UnbindSmartAccessGateway" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "log:PostLogStoreLogs", "log:GetProject", "log:ListProject", "log:GetLogStore", "log:ListLogStores", "log:CreateLogStore", "log:CreateProject", "log:GetIndex", "log:CreateIndex", "log:UpdateIndex", "log:CreateDashboard", "log:ClearLogStoreStorage", "log:UpdateLogStore", "log:UpdateDashboard", "log:CreateSavedSearch", "log:UpdateSavedSearch", "log:DeleteLogStore", "log:DeleteSavedSearch", "log:GetSavedSearch", "log:ListSavedSearch", "log:DeleteDashboard", "log:GetDashboard", "log:ListDashboard" ], "Resource": "acs:log:*:*:project/csas-project-*", "Effect": "Allow" }, { "Action": [ "pvtz:DescribeZones", "pvtz:DescribeZoneInfo", "pvtz:DescribeZoneRecords" ], "Resource": "*", "Effect": "Allow" }, { "Action": "ram:DeleteServiceLinkedRole", "Resource": "*", "Effect": "Allow", "Condition": { "StringEquals": { "ram:ServiceName": "csas.aliyuncs.com" } } } ] }
サービスリンクロールの削除
SASE を今後ご利用にならない場合は、SASE のサービスリンクロール AliyunServiceRoleForCsas を削除できます。まず、すべての既存の SASE インスタンスをリリースしてから、RAM コンソールでロールを削除してください。
-
RAM コンソール にログインします。
-
左側のナビゲーションウィンドウで、 を選択します。
-
検索ボックスを使用して SASE のサービスリンクロール
AliyunServiceRoleForCsasを検索し、**[Actions]** 列の ロールの削除 をクリックします。 -
ロールの削除 ダイアログボックスで、OK をクリックします。
よくある質問
RAM ユーザーを使用する場合、なぜSASE サービスリンクロールを自動的に作成できないのですか。
RAM ユーザーは、サービスリンクロールを自動的に作成または削除するために特定の権限を持つ必要があります。以下のポリシーを RAM ユーザーにアタッチしてください。
{
"Statement": [
{
"Action": [
"ram:CreateServiceLinkedRole"
],
"Resource": "acs:ram:*:ACCOUNT_ID:role/*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": [
"csas.aliyuncs.com"
]
}
}
}
],
"Version": "1"
}手順については、「RAM ロールへの権限付与」をご参照ください。