メインコンテンツまでスキップ

IAM の設定

FPT Database Engine へのアクセス権限は IAM の 2 段階で付与します。権限のまとまりである role を先に定義し、その後で user と role を結び付ける user group を作成すると、user ごとに付与する場合より管理の手間が減り、権限も一貫します。

権限モデル​

IAM は、誰がどのリソースに対してどの操作を実行できるかを決定します。すべては Tenant とその中の VPC を範囲として管理され、この範囲設定が職務の分離を保ち、後からの権限棚卸しを容易にします。

構成要素内容
Rolepermission のまとまりで、保持者が FPT Database Engine のリソースに対して実行できる操作を定義します。
Permissionリソースの参照、作成、編集、削除といった 1 つの操作を許可する個別の権限です。
User Group同じ role と同じアクセス範囲を共有する user の集合で、Tenant または VPC 単位で管理します。
IAM UserTenant に追加された個人の識別情報で、group と role を通じて権限を受け取ります。
必要最小限の権限を付与する

role には業務に必要な権限だけを与えてください。log を参照するだけの担当者に、設定変更やリソース削除の権限は不要です。

role を作成する​

  1. FPT Cloud Portal にログインします。

  2. メインメニューから IAM → Roles を選択します。Role Management ページに既存の role が一覧表示され、作成、編集、削除の操作が用意されています。

  3. Create role をクリックします。

    role 名、説明、権限の項目がある Create role フォーム

  4. role 名と説明を入力し、必要な権限を追加します。権限の設定方法は後述します。

  5. Create role をクリックします。

新しい role は Active ステータスで一覧に表示され、割り当て可能な状態になります。

role の項目​

項目入力内容
Role name必須。IAM 内で role を識別する名前です。100 文字以内で、英数字、アンダースコア (_)、ハイフン (-)、スペース、ピリオド (.) が使えます。
Descriptionrole の目的、権限の範囲、対象となる担当者グループなど。ここを記入しておくと、後の管理と監査がはるかに楽になります。
Permissionsrole が付与する権限です。追加済みの権限にはそれぞれ詳細を開く See more リンクが表示されます。+ Permission をクリックすると権限を追加できます。

権限を設定する​

権限の See more をクリックすると設定画面が開きます。

service type、action、resource のセレクタがある権限の詳細パネル

権限は 3 つの要素で決まります。

Service Type は権限が対象とする操作の分類です。FPT Database Engine では 2 種類を使います。

Service type対象範囲
ManageDatabase情報の閲覧、プロビジョニング、database の運用、付加サービスの管理といった通常の database 管理です。
FDEdatabase 管理者アカウントのパスワードの閲覧や管理など、機微な操作です。

service type を選ぶと、それに対応する Action の一覧が読み込まれ、権限名も合わせて更新されます。

Action は role が実行できる操作を決めます。See more をクリックして付与する action を選びます。選択しなかったものはすべてブロックされます。

Resource は role が操作できる対象を決めます。See more をクリックして、次の 2 つから選びます。

  • All はすべてのリソースへのアクセスを付与します。この選択肢を選んだ場合の既定値です。
  • Specific は一覧から選んだリソースにのみアクセスを付与します。
注記

action FDE:hide_admin_password だけは他と逆に動作します。Specific では、Select resource で選んだ database がパスワード閲覧をブロックされる対象になります。選ばなかった database では引き続き閲覧できます。

hide admin password の action 用に database を選択した Specific 設定の resource セレクタ

role を編集または削除する​

どちらの操作も Role Management ページの、変更したい role の行から開始します。

  • Edit role: Edit role を選び、名前、説明、権限を変更してから Save をクリックします。
  • Delete role: Delete を選び、警告ダイアログで確認します。
警告

role を削除すると、その role を持つすべての user と user group から権限が即座に剥奪され、database の管理と運用が中断する可能性があります。削除前に、その role がどの user や user group にも割り当てられていないことを確認してください。

user group を作成する​

  1. FPT Cloud Portal にログインします。

  2. メインメニューから IAM → User groups を選択します。User Group Management ページに既存の group が一覧表示され、作成、編集、削除の操作が用意されています。

  3. Create user group をクリックします。

    名前、説明、role、user の項目がある Create user group フォーム

  4. 以下で説明する項目を入力します。

  5. Create user group をクリックします。

新しい group は Active ステータスで一覧に表示され、メンバーは割り当てられた role が許可する操作をすぐに実行できます。

user group の項目​

項目入力内容
NameIAM 内で group を識別する名前です。100 文字以内で、group の目的や責任範囲がわかる名前にしてください。
Description利用範囲や group が管理するサービスなどの補足情報です。ここを記入しておくと後の管理と監査が明確になります。
Roles割り当てる role を 1 つ以上指定します。これらを合わせたものが group 内のすべての user に適用される権限になります。
Users追加する user です。各 user は group の role が持つすべての権限を継承し、その role への変更は全メンバーに同時に反映されます。

user group を編集または削除する​

どちらの操作も User Group Management ページの、変更したい group の行から開始します。

  • Edit user group: Edit user group を選び、情報を更新するか割り当てる role を変更してから Edit user group をクリックします。
  • Delete user group: Delete を選び、警告ダイアログで確認します。
警告

group を削除すると、メンバーがその group を通じて継承していたすべての権限が即座に失われます。database リソースやその他のクラウドサービスにアクセスできなくなる可能性があります。

group を削除する前に、次の点を確認してください。

  • その group が database の運用作業や管理作業に使われていないこと。
  • 引き続きアクセスが必要な user が、別の group に移されているか代替の role を付与されていること。
  • database の運用プロセス、自動化、ワークフローがその権限に依存していないこと。

permission リファレンス​

FPT Database Engine のすべての操作は permission によって制御されます。role が該当の permission を持たない場合、その role を持つ全員がその操作を実行できません。広く付与してから絞り込むのではなく、この一覧から role を組み立ててください。

Permissionグループ操作種別できること
manageDatabase:ProvisionBackendサービスCreateVPC 内で FPT Database Engine を有効化します。
manageDatabase:DeactiveBackendサービスDeleteVPC 内で FPT Database Engine を無効化します。
manageDatabase:ListDatabaseViewdatabase の一覧を表示します。
manageDatabase:CreateDatabaseCreatedatabase を作成します。
manageDatabase:ViewDatabaseViewdatabase クラスターの詳細を表示します。
manageDatabase:ManagementDatabaseEditdatabase を start、stop、restart します。
manageDatabase:UpdateResourceDatabaseEditCPU、RAM、storage などクラスターのリソースを更新します。
manageDatabase:ConfigurationDatabaseEditパラメータや scaling 設定を含む database の構成を変更します。
FDE:hide_admin_passwordDatabaseViewクラスターの管理者パスワードの閲覧をブロックします。
manageDatabase:DeleteDatabaseDeletedatabase を削除します。
manageDatabase:ListBackupBackup & RestoreViewdatabase の backup 情報を表示します。
manageDatabase:EnableBackupBackup & RestoreCreateクラスターの backup サービスを有効化します。
manageDatabase:DeleteBackupBackup & RestoreEditクラスターの backup サービスを無効化します。
manageDatabase:CreateJobBackupBackup & RestoreCreateクラスターの backup job を作成します。
manageDatabase:ViewJobBackupBackup & RestoreViewbackup job の詳細を表示します。
manageDatabase:RunNowJobBackupBackup & RestoreCreateクラスターの backup を手動で取得します。
manageDatabase:EditJobBackupBackup & RestoreEditbackup job を編集します。
manageDatabase:DeleteJobBackupBackup & RestoreDeletebackup job を削除します。
manageDatabase:ListRestoreBackup & RestoreView復旧に使用できる backup の一覧を表示します。
manageDatabase:RestoreBackup & RestoreCreatebackup または特定の時点から database を復旧します。
manageDatabase:ListProxyDB ProxyViewdatabase の DB Proxy 一覧を表示します。
manageDatabase:CreateProxyDB ProxyCreateクラスターに DB Proxy を作成します。
manageDatabase:DeleteProxyDB ProxyDeleteクラスターから DB Proxy を削除します。
manageDatabase:ListNotificationNotificationViewクラスターの通知設定を表示します。
manageDatabase:CreateNotificationNotificationCreateクラスターのシステム通知を有効化します。
manageDatabase:DeleteNotificationNotificationDeleteクラスターのシステム通知を無効化します。
manageDatabase:MonitorMonitoringViewdatabase の性能と状態を監視します。
manageDatabase:ReportConfigReportingEditdatabase の活動レポートを受け取るスケジュールを設定します。
注記

FDE:hide_admin_password だけは権限を与えるのではなく制限する項目です。Specific でのリソース選択がどう反転するかは 権限を設定する を参照してください。

次のステップ​