リソースレベルポリシーを使用したクラウドデスクトップの管理 - Elastic Desktop Service

複数のユーザーがリソースを共有する場合、ユーザーの役割と責任に基づいて異なるアクセス許可を付与することで、管理効率を向上させ、データ漏洩のリスクを軽減できます。リソースレベルポリシーを使用すると、各 RAM ユーザーがアクセスおよび操作できるクラウドデスクトップリソースを制御できます。

前提条件

RAM ユーザーを作成済みであること。詳細については、「RAM ユーザーの作成」をご参照ください。

背景情報

Alibaba Cloud では、ポリシーを使用してユーザーのアクセス許可を管理します。さまざまな役割に対して Resource Access Management (RAM) ポリシーを構成し、リソースレベルでカスタムポリシーを作成して、RAM ユーザーまたはユーザーグループにアタッチできます。詳細については、「ポリシー概要」をご参照ください。
RAM はアクションレベルの認可をサポートしていますが、リソースレベルポリシーを使用すると、クラウドデスクトップリソースをより細かく制御できます。RAM の詳細については、「RAM とは」をご参照ください。

制限事項

この機能は、以下のリージョンでのみ利用可能です。

リージョン	リージョン ID
China (Hangzhou)	cn-hangzhou
China (Shanghai)	cn-shanghai
China (Shenzhen)	cn-shenzhen
China (Beijing)	cn-beijing
Singapore	ap-southeast-1
Japan (Tokyo)	ap-northeast-1
Philippines (Manila)	ap-southeast-6

使用例

以下のシナリオでは、リソースレベルポリシーの実装方法を示します。

シナリオの説明

アクセス許可の説明

シナリオ 1：クラウドデスクトップを作成してから、リソースレベルポリシーを構成します。たとえば、2 つのクラウドデスクトップを作成します。

クラウドデスクトップ 1：desktop1 という名前
クラウドデスクトップ 2：desktop2 という名前

ユーザーがクラウドデスクトップ 1 (desktop1) に対してすべての操作を実行できるようにしますが、クラウドデスクトップ 2 (desktop2) に対するすべての操作を拒否します。

シナリオ 2：リソースレベルポリシーを構成してから、クラウドデスクトップを作成します。

ユーザーが上海などの特定のリージョンでのみクラウドデスクトップを作成できるようにしますが、杭州などの他のリージョンでのクラウドデスクトップの作成を拒否します。

シナリオ 1：クラウドデスクトップを作成してからポリシーを構成

2 台のクラウドコンピューターを作成します。詳細については、「クラウドコンピューターの作成」をご参照ください。

2 つのクラウドデスクトップに desktop1 と desktop2 という名前を付けることができます。

カスタムポリシーを作成します。詳細については、「カスタムポリシーを作成する」をご参照ください。

このカスタムポリシーは、ユーザーが Elastic Desktop Service (EDS) コンソールまたは API 操作の呼び出しによって、クラウドコンピューター desktop1 を表示、変更、削除することを許可しますが、desktop2 に対するこれらの操作は拒否します。

以下のコードは、サンプルポリシーを示しています。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecd:*",
      "Resource": "acs:ecd:cn-shanghai:128985087662****:ecddesktop/ecd-akk6qnr7cc9yq****"
    },
    {
      "Effect": "Deny",
      "Action": "ecd:*",
      "Resource": "acs:ecd:cn-shanghai:128985087662****:ecddesktop/ecd-3d3y5w4vd56a8****"
    },
    {
      "Action": "*",
      "Effect": "Allow",
      "Resource": [
        "acs:ecd:*:*:officesite/*",
        "acs:ecd:*:*:ecdpolicy/*",
        "acs:ecd:*:*:ecdimage/*",
        "acs:ecd:*:*:ecdbundle/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecd:DescribeRegions"
      ],
      "Resource": "*"
    }
  ]
}

アクセスを制御したい RAM ユーザーにカスタムポリシーを付与します。詳細については、「RAM ユーザーの権限を管理する」をご参照ください。
Elastic Desktop Service (EDS) コンソールで、または API 操作を呼び出して、desktop1 と desktop2 を表示、変更、削除します。

desktop1 は表示、変更、削除できますが、desktop2 ではこれらの操作を実行できません。desktop2 でこれらの操作を試みると、 User not authorized to operate on the specified resource. エラーが返されます。

シナリオ 2：ポリシーを構成してからクラウドデスクトップを作成

RAM コンソールにログインします。

カスタムポリシーを作成します。詳細については、「カスタムポリシーの作成」をご参照ください。

このカスタムポリシーは、ユーザーが Elastic Desktop Service (EDS) コンソールまたは API コールを介して中国 (上海) リージョンでクラウドコンピューターを管理 (作成、表示、削除) することを許可しますが、中国 (杭州) リージョンではこれらの操作を拒否します。

以下のコードは、サンプルポリシーを示しています。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ecd:*",
            "Resource": "acs:ecd:cn-shanghai:128985087662****:*"
        },
        {
            "Effect": "Deny",
            "Action": "ecd:*",
            "Resource": "acs:ecd:cn-hangzhou:128985087662****:*"
        },
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": [
                "acs:ecd:*:*:officesite/*",
                "acs:ecd:*:*:ecdpolicy/*",
                "acs:ecd:*:*:ecdimage/*",
                "acs:ecd:*:*:ecdbundle/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecd:DescribeRegions"
            ],
            "Resource": "*"
        }
    ]
}

アクセスを制御したい RAM ユーザーにカスタムポリシーを付与します。詳細については、「RAM ユーザーの権限を管理する」をご参照ください。
クラウドコンピューターは、Elastic Desktop Service (EDS) コンソールで、または API 操作を呼び出すことで作成できます。

China (Shanghai) リージョンでクラウドデスクトップを作成、表示、削除できますが、China (Hangzhou) リージョンではこれらの操作を実行できません。China (Hangzhou) リージョンでこれらの操作を試みると、 User not authorized to operate on the specified resource. エラーが返されます。