複数アプリケーションサービスを使用すると、同じアカウント内で異なるユーザーのリソース、構成、およびデータを分離できます。 API 操作を呼び出してアプリケーションを管理し、ID エンティティに権限を付与できます。 このトピックでは、複数アプリケーションサービスのユースケースと制限について説明します。 また、アプリケーションを管理し、ID エンティティに権限を付与する方法についても説明します。
はじめに
ApsaraVideo VOD を使用する場合、同じアカウント内で複数のユーザーのリソース、構成、およびデータを分離する必要がある場合があります。 複数のユーザーには、複数の環境、事業部門、またはチャネルが含まれます。
ApsaraVideo VOD は、複数のユーザー間の分離を実現するために、複数アプリケーションサービスを提供しています。 デフォルトでは、複数アプリケーションサービスは無効になっています。 サービスを有効化し、関連する構成を完了するように申請できます。 また、Resource Access Management (RAM) を使用して権限を管理することもできます。 詳細については、「複数アプリケーションサービスの概要」をご参照ください。
シナリオ
複数環境の分離:
テスト環境とオンライン環境では、動画や画像などのリソース、構成、およびデータを分離する必要があります。 たとえば、異なるコールバック URL 構成を分離する必要があります。 複数アプリケーションサービスを使用して、環境ごとにアプリケーションを作成し、これらのアプリケーションに異なる RAM ユーザーを関連付け、RAM ユーザーに権限を付与できます。 これにより、テスト中または開発中のアプリケーションがオンラインアプリケーションに影響を与えることを防ぐことができます。
複数事業部門の分離:
ビジネスに ApsaraVideo VOD を使用する必要がある複数の事業部門または複数の部門がある場合、複数アプリケーションサービスを使用して、事業部門または部門ごとに分離するためのアプリケーションを作成できます。
複数チャネルの分離:
複数のチャネルまたはユーザー向けに ApsaraVideo VOD の機能に基づいてプラットフォームサービスを構築する場合、複数アプリケーションサービスを使用できます。
制限
同じアカウント内で最大 10 個のアプリケーションを作成できます。 クォータを増やす場合は、[チケットを送信する]。
複数アプリケーションサービスは、メディアのアップロード、オーディオとビデオの再生、メディア管理、およびコールバックのみの分離をサポートしています。
複数アプリケーションサービスは、物理ストレージレベルではなく、メタデータレベルでのみ分離を実装します。 アプリケーションごとの個別の課金はサポートされていません。 ドメイン名の分離やストレージの分離などの物理的な分離は、今後サポートされる予定です。
複数アプリケーションサービスは、中国 (香港) リージョンでは使用できません。
アプリケーション管理
アプリケーションタイプ
複数アプリケーションサービスを有効化すると、カスタムアプリケーションを作成できます。 複数アプリケーションサービスが新規および既存のリソースと互換性があることを確認するために、ApsaraVideo VOD はデフォルトアプリケーションを提供します。 デフォルトアプリケーションは削除できません。 次の表に、2 つのタイプのアプリケーションについて説明します。
アプリケーションタイプ
説明
関連付けられたリソース
権限
システム
デフォルトアプリケーション
既存のリソースはすべてデフォルトアプリケーションにあります。 新しいリソースの作成時にアプリケーションを指定しない場合、新しいリソースもデフォルトアプリケーションに作成されます。
既存のビジネスへの影響を防ぐため、Alibaba Cloud アカウント内のすべての ID エンティティ (RAM ユーザーまたは RAM ロール) に、デフォルトアプリケーションに対するフル権限が付与されます。 権限は Alibaba Cloud アカウントによって取り消すことができます。
カスタム
カスタムアプリケーション
デフォルトでは、カスタムアプリケーションにはリソースは存在しません。 カスタムアプリケーションに新しいリソースを作成できます。 既存のリソースをカスタムアプリケーションに移行することもできます。
Alibaba Cloud アカウント内の ID エンティティは、アクセス権限が付与された後にのみ、アプリケーション内のリソースにアクセスできます。
アプリケーション ID
デフォルトアプリケーションの ID は
app-1000000です。カスタムアプリケーションの ID は
app-xxxxxxx形式です。
説明ListAppInfo 操作を呼び出して、アクセス権限を持つアプリケーションの ID をクエリできます。
管理
複数アプリケーションサービスの API 操作を呼び出して、アプリケーションの作成、クエリ、更新、および削除を行うことができます。 詳細については、「関数別の操作リスト」トピックの「複数アプリケーションサービス」セクションをご参照ください。 複数アプリケーションサービスは、今後 ApsaraVideo VOD コンソールで利用できるようになります。
アカウントの承認
Alibaba Cloud のアカウントには、Alibaba Cloud アカウント、RAM ユーザー、および RAM ロールが含まれます。 アプリケーションのアクセス権限を指定された ID エンティティ (RAM ユーザーまたは RAM ロール) に付与できます。
ポリシー
ApsaraVideo VOD は、ID エンティティに権限を付与するために、次のポリシーを提供します。
ポリシー
制限
スコープ
操作権限
VODAppAdministratorAccess
アプリケーション管理者のすべての権限を付与します
すべてのアプリケーション
Alibaba Cloud アカウント内のすべてのアプリケーションとアプリケーション内のすべてのリソースを管理する権限
VODAppFullAccess
指定されたアプリケーション内のすべてのリソースを管理する権限を付与します
単一アプリケーション
指定されたアプリケーション内のすべてのリソースを管理する権限
VODAppReadOnlyAccess
指定されたアプリケーション内のすべてのリソースに対する読み取り専用権限を付与します
単一アプリケーション
指定されたアプリケーション内のすべてのリソースに対して読み取り操作を実行する権限 (Get、Describe、Search、List で始まる操作など)
Alibaba Cloud アカウントの権限
Alibaba Cloud アカウントには、アプリケーション管理者 (VODAppAdministratorAccess) のすべての権限があります。 Alibaba Cloud アカウントの権限は変更できません。 たとえば、アプリケーションに対する Alibaba Cloud アカウントの権限を取り消すことはできません。 アプリケーション管理者には、次の権限があります。
Alibaba Cloud アカウント内のすべてのアプリケーションの作成、削除、変更、およびクエリ。
各アプリケーション内のすべてのリソース、構成、およびデータの作成、削除、変更、およびクエリ。
Alibaba Cloud アカウント内の ID エンティティ (RAM ユーザーまたは RAM ロール) に権限を付与するか、権限を取り消します。 アプリケーション管理者は自身の権限を取り消すことはできません。
RAM ユーザーまたは RAM ロールの権限
RAM ユーザーまたは RAM ロールがマルチアプリケーションサービスを使用するには、その前に、RAM ユーザーまたは RAM ロールの Alibaba Cloud アカウントで、RAM コンソールで RAM ユーザーまたは RAM ロールに [VODFullAccess] ポリシーをアタッチする必要があります。ApsaraVideo VOD のリソースに対する詳細な権限を付与するには、マルチアプリケーションサービスを使用する必要があります。ID エンティティの権限は、RAM 権限と ApsaraVideo VOD のマルチアプリケーションサービスによって付与された権限の積集合です。
複数アプリケーションサービスが新規および既存のリソースと互換性があることを確認するために、デフォルトアプリケーションへのフルアクセスを許可する VODAppFullAccess ポリシーは、すべての RAM ユーザーと RAM ロールにアタッチされています。 アプリケーション管理者は、権限を取り消したり、再付与したりできます。
RAM ユーザーまたは RAM ロールは、アクセス権限を持つアプリケーションをクエリできます。 RAM ユーザーまたは RAM ロールにアプリケーションに対する権限が付与されると、RAM ユーザーまたは RAM ロールは、このアプリケーションのメディアアセットやコールバックなどのリソースに対して関連する操作を実行できます。
RAM ユーザーまたは RAM ロールが VODAppAdministratorAccess ポリシーにアタッチされている場合、RAM ユーザーまたは RAM ロールは Alibaba Cloud アカウント内のすべてのアプリケーションとリソースを管理できます。
2 つのアプリケーション間でリソースを移行するには、RAM ユーザーまたは RAM ロールが両方のアプリケーションに対する読み取りおよび書き込み権限を持っている必要があります。
承認方法
API 操作を呼び出して、アプリケーションに対する権限を ID エンティティに付与したり、権限を取り消したりできます。 詳細については、「複数アプリケーションサービス」トピックの「複数アプリケーションサービス」セクションをご参照ください。