アクセス境界を設定する — CRISIS サポートサイト

この記事で説明する機能はエンタープライズプランでご利用いただけます。プランの詳細はプランの比較を参照してください。

概要

このページでは、アクセス境界プロファイルを作成し、対象のユーザー・グループ・サービスアカウントに適用するまでの手順を説明します。考え方はアクセス境界設定とはを先にお読みください。

アクセス境界設定を開く

CRISIS 管理画面の IAM > アクセス境界設定 へ移動し、「プロファイルを作成」 をクリックします。

プロファイル一覧 — 名前、モード（有効/無効）、適用対象数が表示される

プロファイルを作成する

名前と説明を入力します。この時点ではステータスを無効のままにしておくことを推奨します。

「プロファイル名」と「説明」を入力し、「ステータス」を選択します。

境界を定義する

プロファイル詳細画面で 「境界」 を編集します。制限したい次元（ユーザーグループ / 資産グループ / フォームテンプレート / オペレーションブック / オペレーションブックテンプレート / ワークフロートピック / ワークフロー）ごとに、見せる範囲を指定します。

指定しなかった次元は「制約しない」となり、通常どおりすべてのリソースが見えます。

「境界を編集」をクリックします。

境界定義画面 — 次元ごとに対象を選択するセレクタ

（任意）ロール制限を設定する

境界内での操作権限も制限したい場合は、プロファイルにロールを指定します。適用対象は、境界内のリソースに対してこのロールが許可する操作のみ実行できるようになります。

プロファイル詳細画面の 「グループ」「サービスアカウント」 タブから、適用対象を追加します。グループに適用すると、そのグループの全メンバーに境界が適用されます。

グループにアクセス境界を設定する

「グループ」タブから「グループを追加」をクリック

適用グループを設定

サービスアカウントにアクセス境界を設定する

「サービスアカウント」タブから「サービスアカウントを追加」をクリック

適用サービスアカウントを設定

モードを有効に切り替える

範囲が意図どおりであることを確認したら、アクセス境界の一覧画面から対象行の「⋮」（三点リーダー）ボタンをクリックし、操作メニューから 「プロファイルを有効化」 をクリックします。

アクセス境界設定の一覧画面で三点リーダーの操作メニューから「プロファイルを有効化」を選択します。

有効化直後の確認

有効化直後は、対象ユーザーに業務上必要なリソースが見えているかを必ず確認してください。これまで参照できていたリソースが表示されなくなったという問い合わせがあった場合は、まず解決済み境界を確認します。切り分け手順はトラブルシューティングを参照してください。

自分自身への適用に注意

管理者自身やその所属グループにプロファイルを適用すると、管理者から管理対象が見えなくなる可能性があります。管理者は境界の適用対象から除外するか、管理業務に必要な範囲を境界に含めてください。