デフォルトでは、Alibaba Cloud アカウントはすべての EDS Enterprise リソースに対するフルアクセス権限を持っています。ただし、RAM ユーザーはデフォルトでは権限を持ちません。RAM ユーザーが EDS Enterprise リソースを管理するには、必要な権限をユーザーに付与する必要があります。このトピックでは、RAM ユーザーに権限を付与する方法について説明します。
背景情報
Resource Access Management (RAM) は、ユーザー ID とリソースアクセス権限を管理できる Alibaba Cloud のサービスです。1 つの Alibaba Cloud アカウント内で、RAM ユーザーなどの複数の ID を作成し、個々の ID または ID グループに異なる権限を割り当てることができます。これにより、異なる RAM ユーザーが、お客様のリソースに異なる権限でアクセスできるようになります。詳細については、「What is Resource Access Management?」をご参照ください。
デフォルトでは、RAM ユーザーは権限を持ちません。ビジネス要件に基づいて、RAM ユーザーにポリシーを付与できます。ポリシーは、システムポリシーとカスタムポリシーに分類されます。詳細については、「Overview of policies」をご参照ください。EDS Enterprise では、次のシステムポリシーが提供されています：
ポリシー名 | 説明 | 詳細 |
AliyunECDFullAccess | EDS Enterprise を管理する権限を付与します。 | ユーザーがクラウドコンピューターのリソースを完全に管理できるようにします。 |
AliyunECDReadOnlyAccess | EDS Enterprise への読み取り専用アクセスを付与します。 | ユーザーがすべてのクラウドコンピューターのリソースを表示できるようにします。 |
AliyunECDRamUserAccess | クライアントからクラウドコンピューターを使用する権限を付与します。 | ユーザーがクラウドコンピューターの照会、接続、再起動、起動、停止を実行できるようにします。 説明 RAM ユーザーによるクライアントログインは、従来の RAM ディレクトリでのみサポートされています。 お使いのオフィスネットワークが RAM ディレクトリを使用している場合、RAM ユーザーに権限を付与する必要があります。 AD 連携を必要としないシンプルなシナリオ向けに、新しいバージョンでは、認可が不要なコンビニエンスアカウントをサポートしています。 |
AliyunECDTagFullAccess | クラウドコンピューターのタグを管理する権限を付与します。 | ユーザーがクラウドコンピューターのタグを作成、削除、照会できるようにします。 |
AliyunECDOfficeSiteFullAccess | オフィスネットワークを管理する権限を付与します。 | ユーザーによるオフィスネットワークの作成、表示、変更、破棄、移行を許可します。 |
AliyunECDDesktopFullAccess | クラウドコンピューターを管理する権限を付与します。 | ユーザーがクラウドコンピューターを変更および解放し、課金方法を変更できるようにします。 |
AliyunECDUserFullAccess | EDS Enterprise のユーザーを管理する権限を付与します。 | ユーザーがユーザーの作成、同期、表示、ロック、削除、クラウドコンピューターの割り当て、パスワードのリセット、ユーザーグループと MFA デバイスの管理を実行できるようにします。 |
AliyunECDPolicyGroupFullAccess | EDS Enterprise のグローバルセキュリティ設定とポリシーを管理する権限を付与します。 | ユーザーがセキュリティ監査とポリシーを管理できるようにします。これには、グローバルポリシーおよび設定項目の作成、表示、変更、削除が含まれます。 |
AliyunECDTechnicalSupportFullAccess | EDS Enterprise のテクニカルサポート権限を付与します。 | ユーザーがユーザーのクラウドコンピューターおよびアプリケーションを管理または表示できるようにします。
|
AliyunTAGReadOnlyAccess | Tag Service への読み取り専用アクセスを付与します。 | EDS でタグ機能を使用する場合は、このポリシーを RAM ユーザーに付与する必要があります。 |
AliyunCloudMonitorReadOnlyAccess | Cloud Monitor への読み取り専用アクセスを付与します。 | EDS で監視およびアラート機能を使用する場合は、このポリシーを RAM ユーザーに付与する必要があります。 |
AliyunActionTrailReadOnlyAccess | ActionTrail への読み取り専用アクセスを付与します。 | EDS で管理者の操作ログを表示する場合は、このポリシーを RAM ユーザーに付与する必要があります。 |
RAM ユーザーに EDS Enterprise を管理するためのフル権限を付与するには、AliyunECDFullAccess ポリシーを付与するだけで十分です。AliyunECD で始まる他のポリシーを付与する必要はありません。AliyunTAGReadOnlyAccess、AliyunCloudMonitorReadOnlyAccess、AliyunActionTrailReadOnlyAccess など、AliyunECD で始まらないポリシーは、他の Alibaba Cloud サービスの権限を付与するものであり、必要に応じて個別に付与する必要があります。
特定のビジネス要件を満たすために、カスタムポリシーを作成することもできます。詳細については、Create a custom policy をご参照ください。
前提条件
RAM ユーザーが作成されている必要があります。詳細については、「Create a RAM user」をご参照ください。
操作手順
Alibaba Cloud アカウントで RAM console にログインします。
左側メニューで、 を選択します。
目的の RAM ユーザーを見つけ、 ポリシーのアタッチ 列の [Attach Policy] をクリックします。
権限の付与 パネルで、パラメーターを設定します。
パラメーター
説明
Resource Scope
[Account] を選択します。これにより、アカウントレベルで権限が付与されます。クラウドコンピューターでは、リソースグループのオプションはまだサポートされていません。
プリンシパル
権限を付与する RAM ユーザーが自動的に選択されます。ほかの RAM ユーザーを選択することもできます。
Policy
1 つ以上のポリシーを選択します。
権限を付与 をクリックします。
結果
ポリシーを付与すると、RAM ユーザーは指定された権限でリソースを表示または管理できるようになります。
たとえば、AliyunECDReadOnlyAccess ポリシーが付与された RAM ユーザーは、EDS Enterprise コンソールにログインしてクラウドコンピューターのリソースを表示できます。その後、このユーザーが オフィスネットワーク ページで オフィスネットワークの作成 をクリックすると、権限が不足していることを示すメッセージが表示されます。