カスタムポリシー

カスタムポリシーはユーザが独自に作成できるポリシーで、必要に応じて細かく操作権限を設定することができます。

作成方法

1. 「アクセス管理」ページのポリシータブにある「ポリシーを追加」をクリック
2. ポリシー名を入力し、操作権限を設定し「保存」をクリック
3. 作成したポリシーが一覧に追加されます

仕様

ポリシーフォーマット

カスタムポリシーは JSON 形式で記述します。以下のフォーマットに従って作成してください。

{
  "version": 1,
  "statements": [
    {
      "effect": "allow" | "deny",
      "actions": [
        "*" | "specific action",
        ...
      ],
      "resources": [
        "*" | "actcast:{resource_type}:{resource_id}",
        ...
      ]
    },
    ...
  ]
}

version

Actcast Policy のバージョンを指定します。
現時点では 1 のみ有効です。

effect

effect には allow または deny を指定します。
deny は常に allow よりも優先され、statements に記述のないアクションはデフォルトで deny として扱われます。

actions

actions には許可または拒否するアクションを指定します。
アクションには全てのアクションを意味する * または 設定可能なアクション & リソース一覧 に記載されている特定のアクションを指定することができます。

resources

resources には対象となるリソースを指定します。
リソースには全てのリソースを意味する * または actcast:{resource_type}:{resource_id} という形式の 設定可能なアクション & リソース一覧 に記載されている特定のリソースを指定することができます。

リソースの resource_id は特定の ID の他に * も指定することが出来るため、以下の例は全て有効なリソースです。

• *
• actcast:act:*
• actcast:act:123

設定可能なアクション & リソース一覧

statements が複数存在する場合の挙動

statements が複数存在する場合、いくつかのルールに基づいてアクセス権限が判定されます。

allow と deny が混在する場合

deny は常に allow よりも優先されるため、以下のケースでは全ての cast リソースに対して delete:cast アクションは拒否されます。

{
  "version": 1,
  "statements": [
    {
      "effect": "allow",
      "actions": [
        "*"
      ],
      "resources": ["*"]
    },
    {
      "effect": "deny",
      "actions": [
        "delete:cast"
      ],
      "resources": ["*"]
    }
  ]
}

同一のアクションを持つ statement が複数存在する場合

同一のアクションを持つ statement が複数存在する場合、その中の一つでも allow と判定されればそのリソースへのアクションは許可されます。
そのため、以下のケースでは全ての act リソースに対して read:act アクションが許可されます。

{
  "version": 1,
  "statements": [
    {
      "effect": "allow",
      "actions": [
        "read:act"
      ],
      "resources": ["*"]
    },
    {
      "effect": "allow",
      "actions": [
        "read:act"
      ],
      "resources": ["actcast:act:123"]
    }
  ]
}