リソース ID に基づく権限を付与する
操作シナリオ
このタスクは、リソースIDによる権限付与に従って、サブユーザー cvmtest01 が ins-duglsqg0 のみ管理できるように実現することをガイドします。
詳細な操作シナリオを閲覧 >>
ポリシー内容
リソースIDによる権限付与により、上記の期待される結果を最終的に実現する場合、対応するポリシーの内容は以下の通りです：
{"version": "2.0","statement": [{"effect": "allow","action": ["cvm:*"],"resource": ["qcs::cvm::uin/12345678:instance/ins-duglsqg0",//12345678はメインアカウントのUIN"qcs::cvm::uin/12345678:image/img-eb30mz89"]},{"effect": "allow","action": ["vpc:DescribeVpcEx","vpc:DescribeNetworkInterfaces","cvm:DescribeCbsStorages"],"resource": ["*"]}]}
操作手順
ステップ1：管理者アカウントによるポリシーの作成と権限付与
1. 管理員アカウントでCAMコンソールにログインし、ポリシーページでポリシージェネレーターに従いカスタムポリシーを作成します（参考 カスタムポリシーの作成 - ポリシージェネレーターによる作成）。
効果：許可
サービス：CVM
操作：すべての操作
リソース：特定リソース - カスタムリソース六段式の追加
それぞれ入力してください：リソースプレフィックス：instance とリソース ID：ins-duglsqg0、およびリソースプレフィックス：image とリソース ID：img-eb30mz89
説明：
リソースプレフィックスの特定方法：CVMのCAMサポートインターフェースにおける対応リソース六段式
CVM製品ページでは、CVM関連インターフェースの呼び出しに加え、VPCなどのインターフェースも使用されます。この場合、まずスキップしてポリシー生成を継続し、実際の操作時にCAMのプロンプトに従って関連インターフェースを追加できます。
2. 次へをクリックし、ポリシー名を cvm-test01 に指定し、このポリシーをサブアカウント cvmtest01 に付与します。
3. 完了をクリックし、権限付与を完了します。
ステップ2：サブアカウントでログインし権限を検証
1. サブユーザーで CVMコンソール にログインし、インスタンスリストページに進みます。このとき、CVMページにはVPCプロダクトDescribeVpcExおよび対応するリソースの権限が不足している旨が表示されます。
2. ページの表示内容に基づいて、管理者アカウントに連絡し、ポリシーに対応する権限付与を追加してください。
ステップ3：管理者アカウントを使用してポリシー内容を調整する
1. メインアカウントを使用し、VPCがサポートするCAMのインターフェースリストにおいて、DescribeVpcExを確認し、このインターフェースが操作レベルのインターフェースであることを確定します。
2. CAMコンソールの ポリシー ページで、ポリシー cvm-test01 を見つけ、ポリシー名をクリックして詳細を表示します。
3. ポリシー構文で編集をクリックし、操作レベルインターフェースの権限付与記載形式に従って、ポリシー詳細にインターフェース権限付与を追加します。
追加前：
追加後：
4. 追加後、再度 ステップ2 を実行し、サブアカウント cvmtest01 を使用して再検証したところ、依然として異常が発生し、VPC 下の DescribeNetworkInterfaces および対応するリソースへのアクセス権限が不足していることが判明しました。VPCがサポートするCAMのインターフェースを確認し、DescribeNetworkInterfaces が操作レベルのインターフェースであることを特定しました。
5. ステップ3 に従ってポリシー内容の調整を続け、システムでエラーが発生しなくなるまで行います。
6. 最終的なポリシーの内容は以下の通りです：
説明：
CAMポリシーを記載する際、具体的なリソースを操作する必要がある場合、リソースレベルのインターフェース権限付与は操作レベルと分けて記載する必要があり、複数の操作レベルインターフェースはまとめて記載できます。
ステップ4：検証結果
サブユーザー cvmtest01 を使用して再度検証し、期待通りの効果を達成しました。
これにより、サブユーザー cvmtest01 はインスタンスに対して起動/停止、再起動、名称変更、パスワードリセットなどの操作を行うことができます。
フィードバック