ECS dynamically manages resource permissions based on labels

シナリオ

ある企業が、役割に応じてリソースを管理したいと考えています。

Datacenter メンバー：タグ project: datacenter が付与されたすべての ECS リソースへのアクセスを許可します。

Bizcenter メンバー：タグ project: bizcenter が付与されたすべての ECS リソースへのアクセスを許可します。

リソース作成者：リソースの作成を行います。

リソース権限管理者：リソースへのタグ付与による権限管理を行います。リソースに権限がある場合はタグを追加し、権限がない場合はタグを削除します。権限の変更は不要です。

権限設計は以下の通りです。

Datacenter メンバー

サブアカウントの直接使用は、アクセス制御に固有のものです。

プロジェクトメンバーが使用するサブアカウントは、以下の権限を付与することで datacenter のリソースにアクセスできます。

補足：ECS コンソールでリソースをフィルタリングする際、タグ project: datacenter に基づいてリソースを表示する必要があります。デフォルトでは、タグでフィルタリングしないとリソースは表示されません。

Bizcenter メンバー

サブアカウントは固定ロールを通じてこの権限を使用します。

RAM コンソール - アイデンティティ管理 - ロール - ロールの作成で、bizcenter-member という名前のロールを作成します。

補足：ECS コンソールでリソースをフィルタリングする際、タグ project: bizcenter に基づいてリソースを表示する必要があります。デフォルトでは、タグでフィルタリングしないとリソースは表示されません。

Bizcenter メンバーが使用するサブアカウントは、bizcenter-member ロールの引き受けを通じて bizcenter リソースにアクセスする必要があります。

リソース作成者

リソース作成者がリソースマネージャーである場合は、AliyunECSFullAccess 権限を使用します。

作成するリソースに必ずタグ project: anyValue を付与する必要がある場合、権限は以下のようになります。

リソース権限管理者

リソースにタグ project: anyValue を付与する必要がある場合、権限は以下のようになります。

タグポリシーを使用することで、リソースに正しいタグが確実に付与されるようになります。