Soracom

SAM ユーザーが SORACOM API を呼び出す場合は、呼び出す API にあわせて SAM ユーザーごとに権限を設定します。

権限を設定する方法には、直接指定、ロール指定、SAM デフォルト権限設定の 3 種類があります。1 ユーザーに対して、すべての方法で権限を設定した場合の適用順序については、SAM ユーザーの権限設定の適用順序について を参照してください。

直接指定

SAM ユーザーごとに、個別の権限を設定します。

1. ユーザーコンソール にログインし、右上のユーザー名が表示されているボタンをクリックして、[セキュリティ] をクリックします。

   

   SAM ユーザー一覧画面が表示されます。

2. 権限を設定する SAM ユーザーをクリックします。

   

3. [権限設定] をクリックします。

   

4. パーミッション構文に従った JSON を [直接指定] に入力します。

   たとえば、ある SAM ユーザーに、IoT SIM の一覧を表示する権限のみを付与する場合は、以下のように入力します。

   {
     "statements": [
       {
         "effect": "allow",
         "api": [
           "Sim:listSims"
         ]
       }
     ]
   }
   

   パーミッション構文については、パーミッション構文 を参照してください。

   テンプレート (良く使われる定型的な設定) や作成済みのロールを参考にできます

   良く使われる定型的な権限設定を「テンプレート」という名前で用意しています。

   [テンプレート選択] で目的に合った権限設定 (テンプレート、または ロール) を選択して、[直接指定] に入力する内容の参考にできます。[コピー] をクリックすると、[テンプレート選択] に表示されている内容をクリップボードにコピーできます。

5. [保存] をクリックします。

ロール指定 (関連付け)

あらかじめ ロールを作成 しておくと、ロールを SAM ユーザーに関連付ける (アタッチする) だけで、SAM ユーザーの権限を設定できます。

1. SAM ユーザー一覧画面で、権限を設定する SAM ユーザーをクリックします。

   

2. [権限設定] をクリックします。

   

3. [ロール指定] の [ロールをアタッチ] をクリックします。

4. 関連付ける (アタッチする) ロールにチェックを入れて、[アタッチ] をクリックします。

   ロール一覧画面が表示されます。

SORACOM ユーザーコンソールの主な機能と権限設定について

適切な権限を設定していない SAM ユーザーが SORACOM ユーザーコンソールにログインすると、SIM 管理画面が表示されないなど説明通りに操作できない場合があります。これは、SORACOM ユーザーコンソールの一部の機能が、SORACOM API を利用しているためです。

SORACOM ユーザーコンソールの主な機能と、その機能を利用するために必要な権限の関係は、以下のとおりです。

{
  "statements": [
    {
      "effect": "allow",
      "api": "User:updateUserPassword",
      "condition": "pathVariable('user_name') == samUserName"
    }
  ]
}

SAM ユーザーの権限設定の適用順序について

SAM ユーザーに対して権限を設定する方法には、直接指定、ロール指定、SAM デフォルト権限設定 の 3 種類があります。ある SAM ユーザーに対して、複数の方法で権限を設定した場合は、以下のルールで権限が適用されます。

直接指定、ロール指定 (複数指定可能)、SAM デフォルト権限設定の 3 種類の権限設定を、すべて同じ優先順位で組み合わせます。その結果、同じ API に対して、許可 (allow) と 禁止 (deny) を設定した場合は、API の呼び出しは 禁止 (deny) されます。

なお、具体例は以下のとおりです。

例 1:

• 権限設定 A : Billing:bills だけが allow

  {
    "statements": [
      {
        "effect": "allow",
        "api": "Billing:bills"
      }
    ]
  }
  

• 権限設定 B : Billing:* が deny (Billing:bills も deny)

  {
    "statements": [
      {
        "effect": "deny",
        "api": "Billing:*"
      }
    ]
  }
  

例 2:

• 権限設定 A : Billing:bills が deny の権限設定

  {
    "statements": [
      {
        "effect": "deny",
        "api": "Billing:bills"
      }
    ]
  }
  

• 権限設定 B : Billing:* が allow の権限設定 (Billing:bills も allow)

  {
    "statements": [
      {
        "effect": "allow",
        "api": "Billing:*"
      }
    ]
  }