Server Migration Center:タグを使用したきめ細かなアクセス制御

ユースケース例

次のシナリオは、タグベースのアクセス制御を示しています。

手順 1：カスタムポリシーの作成と権限付与

RAM コンソールでカスタムポリシーを作成するか、CreatePolicy API を呼び出します。ポリシーの詳細は、「Policy configuration」セクションに記載されています。

1. Alibaba Cloud アカウントでRAM コンソールにログインします。

2. 左側のナビゲーションペインで、Permissions > Policies を選択します。

3. Policies ページで、ポリシーの作成 をクリックします。

4. ポリシーの作成 ページで、[JSON] タブをクリックします。

5. ポリシーを設定します。

   ポリシーは、バージョン番号とステートメントで構成されます。各ステートメントには、エフェクト、アクション、リソース、および任意の条件が含まれます。詳細については、「Policy elements」と「Policy structure and syntax」をご参照ください。

   1. 必要に応じてポリシードキュメントを変更した後、OK をクリックします。

      Condition ブロックに、タグベースの条件を追加して権限を制限します。次の表に、サポートされている条件キーを示します。

      条件キー	説明
      acs:RequestTag	リクエストに特定のタグが含まれていることを要求します。 API オペレーションがリクエスト内のタグをサポートしていない場合、この条件キーは使用できません。使用すると、認証に失敗します。
      acs:ResourceTag	アクセス対象のリソースに特定のタグが付いていることを要求します。 API オペレーションがリクエストでリソース ID を要求しない場合、この条件キーは使用できません。使用すると、認証に失敗します。

      説明

      API オペレーションに応じて、acs:RequestTag または acs:ResourceTag を選択します。判断基準は、リソース ID が必要かどうか、またはリクエストでのタグ指定をサポートしているかどうかです。詳細については、「Tag-based authentication for API operations」をご参照ください。

      {
          "Statement": [
              {
                  "Action": "smc:CreateReplicationJob",
                  "Condition": {
                      "StringEquals": {
                          "acs:RequestTag/smc": "test"
                      }
                  },
                  "Effect": "Allow",
                  "Resource": "*"
              },
              {
                  "Action": "smc:*",
                  "Condition": {
                      "StringEquals": {
                          "acs:ResourceTag/smc": "test"
                      }
                  },
                  "Effect": "Allow",
                  "Resource": "*"
              },
              {
                "Action": [
                      "*:TagResources",
                      "*:UntagResources"  
                   ],
                  "Effect": "Deny",
                  "Resource": "*"
              },
              {
                  "Action": [
                      "*:List*",
                      "*:Describe*"
                  ],
                  "Effect": "Allow",
                  "Resource": "*"
              }
          ],
          "Version": "1"
      }

      前述のポリシーは、次の権限制御を実現します。

      シナリオ	ポリシー
      シナリオ 1：作成時に smc:test タグが追加されている場合にのみ、移行ジョブの作成が許可されます。	{ "Statement": [ { "Action": "smc:CreateReplicationJob", "Condition": { "StringEquals": { "acs:RequestTag/smc": "test" } }, "Effect": "Allow", "Resource": "*" }, { "Action": [ "*:List*", "*:Describe*" ], "Effect": "Allow", "Resource": "*" } ], "Version": "1" }
      シナリオ 2：smc:test タグが付いた SMC リソースに対してのみ操作 (プロパティの変更やリソースの削除など) が許可されます。その他の SMC リソースに対する操作は拒否されます。	{ "Statement": [ { "Action": "smc:*", "Condition": { "StringEquals": { "acs:ResourceTag/smc": "test" } }, "Effect": "Allow", "Resource": "*" }, { "Action": [ "*:TagResources", "*:UntagResources" ], "Effect": "Deny", "Resource": "*" }, { "Action": [ "*:List*", "*:Describe*" ], "Effect": "Allow", "Resource": "*" } ], "Version": "1" }

   2. ポリシーの作成 ダイアログボックスで、ポリシーの名前と説明を入力し、OK をクリックします。

6. カスタムポリシーを RAM ユーザーにアタッチします。

   1. 左側のナビゲーションペインで、Identities > Users を選択します。

   2. 新しく作成したカスタムポリシーを RAM ユーザーにアタッチします。

      詳細については、「RAM ユーザーの権限を管理する」をご参照ください。

手順 2：ポリシーの検証

1. RAM ユーザーとして SMC コンソールまたはOpenAPI Explorer にログインします。

   この例では、SMC コンソールを使用して検証します。

2. ポリシーが正しく動作することを確認します。

   次の権限をテストします：

   • 移行ジョブを作成する：

     • 移行ジョブの作成時に smc:test タグを追加すると、移行ジョブを作成できます。

     • 移行ジョブの作成時に smc:test タグを追加しない場合、移行ジョブは作成できません。エラーメッセージ「You are not authorized to perform this operation. Contact your Alibaba Cloud account to grant the required permissions and then try again.」が表示されます。権限を付与するには、[Go to RAM for Authorization] をクリックします。

   • 移行元を削除する：

     • smc:test タグが付いた移行元は削除できます。

     • smc:test タグが付いていない移行元を削除しようとすると、操作は失敗します。[Error] ダイアログボックスが表示され、メッセージ「You are not authorized to perform this operation. Contact your Alibaba Cloud account to grant the required permissions and then try again.」が表示されます。[OK] をクリックしてダイアログボックスを閉じます。

API オペレーションのタグベース認証