アクセス境界設定とは

概要

アクセス境界設定は、ユーザーやサービスアカウントから 見えるリソースの範囲そのものを制限 する機能です。ロールが実行可能な操作を定めるのに対し、アクセス境界は参照可能な範囲を定めます。

利用場面

ロールによる権限管理だけでは対応しにくいのは、次のようなケースです。

• グループ会社・複数拠点での運用: 子会社Aの担当者には子会社Aの資産・インシデントだけを見せたい
• 外部委託先の受け入れ: 委託先ユーザーには特定のフォームテンプレートとオペレーションブックだけを扱わせたい
• 連携システムの制限: 外部連携用のサービスアカウントには、必要最小限のワークフロートピックだけを見せたい

こうした「対象範囲の分離」を、リソースごとの IAM ポリシーを積み上げずに一括で定義できるのがアクセス境界設定です。

仕組み

アクセス境界は プロファイル として定義し、ユーザー・グループ・サービスアカウントに適用します。

構成要素	説明
境界（Boundary）	見える範囲の定義。ユーザーグループ、資産グループ、フォームテンプレート、オペレーションブック、オペレーションブックテンプレート、ワークフロートピック、ワークフローの各次元で範囲を指定できます。指定しなかった次元は制約されません。
ロール制限	プロファイルにロールを紐付けると、境界内であっても操作権限をそのロールの範囲に制限できます。未指定の場合、操作権限の制限はありません。
モード	無効（作成のみで適用しない）と 有効（境界を適用する）を切り替えられます。

適用対象のユーザーが複数のプロファイルに紐付いている場合や、グループ経由でプロファイルが適用されている場合は、それらを合成した「解決済み境界」が実際の見える範囲になります。

設定手順はアクセス境界を設定するを参照してください。