Simple Log Service:リソースグループによるきめ細かなアクセス制御

仕組み

リソースグループは、プロジェクトや環境ごとにリソースを整理します。リソースをグループ化したら、そのグループにのみ権限を限定する RAM ポリシーをアイデンティティ (RAM ユーザー、ユーザーグループ、ロールなど) にアタッチできます。詳細については、「リソースのグループ化と権限付与」をご参照ください。

このアプローチには、主に 2 つのメリットがあります。

• きめ細かなアクセス制御：アカウント全体の権限を付与する代わりに、アイデンティティのアクセスを特定のグループ内のリソースのみに制限できます。これにより、プロジェクト固有のワークロードを分離し、意図しないアクセスのリスクを軽減できます。

• 管理の簡素化：新しいリソースがリソースグループに追加されると、そのグループに限定された権限を持つ RAM アイデンティティは自動的にアクセスできます。新しいリソースが作成されるたびに RAM ポリシーを更新する必要はありません。

RAM ユーザーへのリソースグループレベルの権限付与

このセクションでは、特定のリソースグループ内のSimple Log Serviceリソースにのみアクセス権限を RAM ユーザーに付与する方法について説明します。

サポート対象リソース

以下のSimple Log Serviceリソースは、リソースグループレベルの権限付与をサポートしています。

サポート対象外アクション

以下のSimple Log Serviceアクションは、リソースグループレベルの権限付与をサポートしていません。

上記のアクションについては、 [Resource Scope] を [Account] に設定し、カスタムポリシーを作成する必要があります。

以下のポリシー例は、必要に応じてカスタマイズ可能です。

• 読み取り専用アクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "log:CallAiTools",
          "log:DescribeService",
          "log:GetAccount",
          "log:GetAgentInstanceConfig",
          "log:GetAnnotationLabel",
          "log:GetApp",
          "log:GetAsyncSQL",
          "log:GetCMSInnerExternalStore",
          "log:GetCluster",
          "log:GetCollectionPolicy",
          "log:GetCursor",
          "log:GetDataExpression",
          "log:GetDiagnosis",
          "log:GetEcsAliUid",
          "log:GetEntityStore",
          "log:GetGlobalProject",
          "log:GetLogs",
          "log:GetMLServiceResults",
          "log:GetPartitions",
          "log:GetProductDataCollection",
          "log:GetProjectInfo",
          "log:GetRecordingRule",
          "log:GetResource",
          "log:GetResourceRecord",
          "log:GetRoleFlags",
          "log:GetShards",
          "log:GetShardsInPartition",
          "log:GetSlsService",
          "log:GetWorkerFlags",
          "log:GetWorkers",
          "log:ListAccounts",
          "log:ListAgentInstanceConfigs",
          "log:ListAiTools",
          "log:ListAnnotationData",
          "log:ListAnnotationDataSets",
          "log:ListAnnotationLabels",
          "log:ListClusters",
          "log:ListCollectionPolicies",
          "log:ListDashboardSharing",
          "log:ListGlobalProjects",
          "log:ListNextResourceRecords",
          "log:ListProjects",
          "log:ListResourceRecords",
          "log:ListResources",
          "log:ListTagResource",
          "log:QueryPartition",
          "log:QueryProject",
          "log:QueryPrometheusMetrics"
        ],
        "Resource": "*"
      }
    ]
  }
  

• フルアクセスの許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "log:AccessDashboardSharing",
          "log:AnalyzeProductLog",
          "log:BalancePartitions",
          "log:BatchGetGlobalProject",
          "log:BatchGetIndex",
          "log:BatchGetStore",
          "log:CallAiTools",
          "log:CheckArmsAuthorization",
          "log:CheckUserPermission",
          "log:CreateAccount",
          "log:CreateAgentInstanceConfig",
          "log:CreateAnnotationDataSet",
          "log:CreateAnnotationLabel",
          "log:CreateApp",
          "log:CreateCMSInnerExternalStore",
          "log:CreateCluster",
          "log:CreateDashboardSharing",
          "log:CreateDataExpression",
          "log:CreateEntityStore",
          "log:CreateRecordingRule",
          "log:CreateResourceRecord",
          "log:CreateTicket",
          "log:DeleteAccount",
          "log:DeleteAgentInstanceConfig",
          "log:DeleteCollectionPolicy",
          "log:DeleteDashboardSharing",
          "log:DeleteEntityStore",
          "log:DeleteRecordingRule",
          "log:DeleteResource",
          "log:DeleteResourceRecord",
          "log:DescribeService",
          "log:DisableWorker",
          "log:EnableService",
          "log:EnableWorker",
          "log:GetAccount",
          "log:GetAgentInstanceConfig",
          "log:GetAnnotationLabel",
          "log:GetApp",
          "log:GetAsyncSQL",
          "log:GetCMSInnerExternalStore",
          "log:GetCluster",
          "log:GetCollectionPolicy",
          "log:GetCursor",
          "log:GetDataExpression",
          "log:GetDiagnosis",
          "log:GetEcsAliUid",
          "log:GetEntityStore",
          "log:GetGlobalProject",
          "log:GetLogs",
          "log:GetMLServiceResults",
          "log:GetPartitions",
          "log:GetProductDataCollection",
          "log:GetProjectInfo",
          "log:GetRecordingRule",
          "log:GetResource",
          "log:GetResourceRecord",
          "log:GetRoleFlags",
          "log:GetShards",
          "log:GetShardsInPartition",
          "log:GetSlsService",
          "log:GetWorkerFlags",
          "log:GetWorkers",
          "log:ListAccounts",
          "log:ListAgentInstanceConfigs",
          "log:ListAiTools",
          "log:ListAnnotationData",
          "log:ListAnnotationDataSets",
          "log:ListAnnotationLabels",
          "log:ListClusters",
          "log:ListCollectionPolicies",
          "log:ListDashboardSharing",
          "log:ListGlobalProjects",
          "log:ListNextResourceRecords",
          "log:ListProjects",
          "log:ListResourceRecords",
          "log:ListResources",
          "log:ListTagResource",
          "log:LockWorker",
          "log:MovePartition",
          "log:MoveShard",
          "log:OpenSlsService",
          "log:PutAccount",
          "log:PutAnnotationData",
          "log:PutLogs",
          "log:PutOpenEvent",
          "log:QueryPartition",
          "log:QueryProject",
          "log:QueryPrometheusMetrics",
          "log:RefreshToken",
          "log:RemoteWritePrometheus",
          "log:SetGeneralDataAccessConfig",
          "log:SetWorkerFlags",
          "log:SubmitAsyncSQL",
          "log:UnlockWorker",
          "log:UpdateAccount",
          "log:UpdateAgentInstanceConfig",
          "log:UpdateApp",
          "log:UpdateCluster",
          "log:UpdateDashboardSharing",
          "log:UpdateDataExpression",
          "log:UpdateLogStoreInternalConfig",
          "log:UpdateProjectOwner",
          "log:UpdateProjectQuota",
          "log:UpdateProjectV2",
          "log:UpdateResource",
          "log:UpdateResourceRecord",
          "log:UpsertCollectionPolicy",
          "log:UpsertResourceRecord",
          "log:VerifySignature"
        ],
        "Resource": "*"
      }
    ]
  }
  

よくある質問