Identity as a Service:静的認証情報なしで ECS 上の STS トークンを取得する

PKCS#7 フェデレーション認証情報プロバイダーの作成

EIAM はこのフェデレーション認証情報プロバイダーを使用して、ECS インスタンスからの PKCS#7 アイデンティティ署名を検証します。

1. IDaaS コンソールにログインし、上部で対象のリージョンに切り替えます。左側のナビゲーションウィンドウで、EIAM を選択します。

2. ページの右側で対象の EIAM インスタンスを見つけ、Actions 列で Console をクリックして管理コンソールを開きます。

3. EIAM インスタンス管理コンソールの左側のナビゲーションウィンドウで、Sign-In をクリックし、Authentication Configuration > Federated Credential Provider Management > Add Federated Credential Provider を選択します。

4. 表示されるパネルで [PKCS#7] を選択し、Next をクリックします。次のパラメーターを設定し、Confirm をクリックします。詳細については、「フェデレーション認証情報プロバイダー管理」をご参照ください。

   パラメーター	説明	設定例
   Federated Credential Provider	Federated Credential Provider をカスタマイズします。	test-ecs-credential-source
   Trust Source	Alibaba Cloud を選択します。	Alibaba Cloud
   Fill in Verification Certificate	Obtain Cloud Certificate をクリックして、[検証証明書] と Account ID フィールドに自動的に入力します。	-

M2M クライアントアプリケーションの作成

このアプリケーションは、ECS インスタンス上のビジネスアプリケーションを表し、認証リクエストを開始します。

1. EIAM インスタンス管理コンソールの左側のナビゲーションウィンドウで、Application Management > M2M Application を選択します。

2. Add Application をクリックし、Application Name を「M2M Client」に設定し、Add をクリックします。

3. Client Permission Management タブで、Custom Permissions スイッチをオンにします。

4. General タブで、Certificate Management > Authentication Type > Add Application Federated Credential を選択します。次のパラメーターを設定し、Confirm をクリックします。詳細については、「フェデレーション認証情報の作成」をご参照ください。

   パラメーター	説明	設定例
   Federated Credential Provider	前のステップで作成した Federated Credential Provider を選択します。	test-ecs-credential-source
   Application Federated Credential Name	Application Federated Credential Name をカスタマイズします。	test-ecs-credential
   Verification	Cloud Serverを選択します。	Cloud Server
   Instance ID	既存の ECS インスタンスのインスタンス ID を指定します。右側にある アイコンをクリックして、複数のインスタンス ID を追加できます。	i-bp1******wfkx

M2M サーバーアプリケーションの作成

このアプリケーションは OIDC プロバイダーとして、RAM に発行されるアクセストークンのオーディエンス (aud) とスコープ (scope) を定義します。

1. EIAM インスタンス管理コンソールの左側のナビゲーションウィンドウで、Application Management > M2M Application を選択します。

2. Add Application をクリックし、Application Name を「M2M Server」に設定し、Add をクリックします。

3. Server Permission Control タブの Authorized application で、Server Permission Control スイッチをオンにします。表示されるパネルで、ResourceServer Identifier を設定し、Confirm をクリックします。

   説明

   ResourceServer Identifier を cloud:idaas:sts:alibabacloud:<account-id> に設定することを推奨します。<account-id> をご利用の Alibaba Cloud アカウント ID に置き換えてください。

4. を選択し、次のパラメーターを設定して、Confirm をクリックします。

   • Scope Name：カスタムのスコープ名を入力します。例：assume-role

   • Scope Value：カスタムのスコープ値。これを role:assume に設定することを推奨します。

5. Authorized Applications で、M2M Client スイッチを有効にし、Permission リストで前のステップで追加した権限 (例：assume-role) を選択し、Confirm をクリックします。

OIDC ID プロバイダーの作成

1. RAM コンソールで、ID プロバイダーページに移動し、[OIDC] タブを選択して、[IdP の作成] をクリックします。

2. [IdP の作成] ページで、次のパラメーターを設定し、[IdP の作成] をクリックします。詳細については、「OIDC ID プロバイダーの管理」をご参照ください。

   パラメーター	説明	値の例
   IdP 名	ご利用の Alibaba Cloud アカウント内で一意である必要があります。	test-oidc-provider
   発行者 URL	M2M サーバーアプリケーションの詳細ページで、General > Application Settings セクションから [発行者] の URL をコピーします。	https://8******n.aliyunidaas.com/api/v2/iauths_system/oauth2
   指紋	[発行者 URL] を入力した後、[指紋の取得] をクリックします。Alibaba Cloud が自動的に指紋を計算して表示します。	-
   クライアント ID	M2M サーバーアプリケーションの詳細ページで、Server Permission Control > Authorized application セクションから ResourceServer Identifier の値をコピーします。	cloud:idaas:sts:alibabacloud:13******76

RAM ロールの作成

1. RAM コンソールの [ロール] ページに移動し、[ロールの作成] をクリックします。詳細については、「OIDC ID プロバイダーの RAM ロールを作成する」をご参照ください。

2. [ロールの作成] ページの右上隅にある [ポリシーエディターに切り替え] をクリックし、[ビジュアルエディター] を選択します。

3. [プリンシパル] を設定します。

   1. [ID プロバイダー] を選択します。

   2. [ID プロバイダー] の下にある [編集] をクリックします。[プリンシパルの追加] パネルで、[ID プロバイダータイプ] を [OIDC] に、[ID プロバイダー] を前のステップで作成したプロバイダー (例：test-oidc-provider) に設定し、[OK] をクリックします。

4. 条件 を設定します。

   [条件の追加] をクリックし、[キー] を oidc:sub に、[演算子] を StringEquals に、[値] を M2M クライアントアプリケーションの client_id に設定し、[OK] をクリックします。

   説明

   M2M クライアントアプリケーションの詳細ページで、client_id は General > Certificate Management > Authentication Type > Client Secret Credential の下にあります。

5. ページ下部の [OK] をクリックします。次に、[ロール名] を設定し、[OK] をクリックします。

6. ロールの詳細ページで、[権限] > [権限の付与] をクリックします。必要に応じて [ポリシー] を設定し (例：AliyunOSSReadOnlyAccess)、[OK] をクリックします。

ECS インスタンスアイデンティティ署名の取得

1. ECS インスタンスにログインします。詳細については、「ECS インスタンスへの接続方法の選択」をご参照ください。

2. サーバーターミナルで次のスクリプトを実行します。スクリプトの出力は ECS インスタンスアイデンティティ署名です。詳細については、「インスタンスアイデンティティドキュメントまたは署名の取得」をご参照ください。

   # <IDaaS Instance ID> をご利用の IDaaS インスタンス ID (例: idaas_xxx) に置き換えます
   IDAAS_INSTANCE_ID="<IDaaS Instance ID>"
   
   # 1. ECS アクセス認証情報を取得します。有効期間を設定します。X-Forwarded-For ヘッダーは含めません。
   TOKEN=$(curl -s -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds:1200")
   
   # 2. 完全な URL を構築します。注意: audience パラメーターの値は URL エンコードされた JSON 文字列です。
   # 現在の UNIX タイムスタンプを秒単位で取得します。
   SIGNING_TIME=$(date +%s)
   URL="http://100.100.100.200/latest/dynamic/instance-identity/pkcs7?audience=%7B%22aud%22%3A%22$IDAAS_INSTANCE_ID%22%2C%22signingTime%22%3A$SIGNING_TIME%7D"
   
   # 3. ECS インスタンスアイデンティティ署名を取得します。
   curl -s -w '\n' -H "X-aliyun-ecs-metadata-token: $TOKEN" "$URL"

   audience パラメーター値の生成：

   ECS インスタンスアイデンティティ署名を取得する際、リクエストには audience フィールドを含める必要があります。その値は次のように生成します。

   1. audience パラメーターの元のコンテンツを JSON 文字列として構築します。各フィールドの説明は次のとおりです。

      • aud：IDaaS インスタンス ID である必要があります。

      • signingTime：署名が生成されたときの UNIX タイムスタンプ (秒単位)。

      # URI エンコード前 (JSON 文字列)
      {"aud":"idaas_xxx","signingTime":1750131608}

   2. JSON 文字列を URI エンコードします。エンコードされた結果が audience パラメーターの最終的な値になります。

      # URI エンコード後 (audience パラメーターの値として)
      %7B%22aud%22%3A%22idaas_xxx%22%2C%22signingTime%22%3A1750131608%7D

M2M アクセストークンの取得

次のスクリプトで変数とパラメーターを設定し、サーバーターミナルで実行します。詳細については、「PKCS#7 署名認証」をご参照ください。

curl -s --request POST \
  --url '<M2M クライアントアプリケーションのトークンエンドポイント>' \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'grant_type=client_credentials' \
  --data-urlencode 'client_id=app_xxx' \
  --data-urlencode 'client_assertion_type=urn:cloud:idaas:params:oauth:client-assertion-type:pkcs7-bearer' \
  --data-urlencode 'client_assertion=xxx' \
  --data-urlencode 'scope=xxx|xxx' \
  --data-urlencode 'application_federated_credential_name=xxx'

• <M2M クライアントアプリケーションの Token Endpoint>

  M2M クライアントアプリケーションの詳細ページに移動します。Token Endpoint URL は General > Application Settings > Token Endpoint の下にあります。例：https://8******n.aliyunidaas.com/api/v2/iauths_system/oauth2/token

• リクエストパラメーター

  パラメーター	説明
  grant_type	client_credentials である必要があります。
  client_id	M2M クライアントアプリケーションのIDです。例：app_nfb******dzq。 M2M クライアントアプリケーションの詳細ページに移動します。ID は General > Basic Information にあります。
  client_assertion_type	urn:cloud:idaas:params:oauth:client-assertion-type:pkcs7-bearer である必要があります。
  client_assertion	前のステップで取得したECS インスタンスアイデンティティ署名です。
  scope	フォーマット: ResourceServer Identifier (<a baseurl="t3202873_v1_0_0.xdita" data-node="6289826" data-root="56554" data-tag="xref" href="#792e950861jt0" id="153a2d2a14qi7">M2M サーバーアプリケーション</a>の)|Scope Value (M2M サーバーアプリケーションの)。 例：cloud:idaas:sts:alibabacloud:62******39|role:assume。
  application_federated_credential_name	M2M クライアントアプリケーションのApplication Federated Credential Nameです。例：test-ecs-credential。

• レスポンス

  {
    "token_type": "Bearer",
    "access_token": "eyJraQ******E13GvA",
    "expires_in": 3600,
    "expires_at": 1766063256
  }

  パラメーター	説明
  token_type	Bearer である必要があります。
  access_token	IDaaS によって発行されたアクセストークン。アプリケーションはこのトークンを使用して RAM から STS トークンを取得できます。
  expires_in	access_token の有効期間 (秒単位)。
  expires_at	access_token の有効期限 (UNIX タイムスタンプ、秒単位)。

M2M アクセストークンの取得失敗

次の項目を確認してください。

1. ネットワーク接続：ECS インスタンスで、コマンド curl -v https://<EIAM instance ID>.aliyunidaas.com を実行して、EIAM のパブリックドメイン名にアクセスできるかどうかを確認します。

2. メタデータサービス：curl http://100.100.100.200/latest/meta-data/ を実行して、インスタンスメタデータサービスにアクセスできるかどうかを確認します。

3. スクリプト変数：スクリプト内の IDAAS_INSTANCE_ID、TOKEN_ENDPOINT、CLIENT_ID などの変数が正しく設定されていることを確認します。

4. ECS インスタンスの権限付与：EIAM M2M クライアントアプリケーションで設定されている「ECS インスタンス ID」が、スクリプトを実行している ECS インスタンスの ID であることを確認します。

EIAM が invalid_scope エラーを返す

このエラーは、scope パラメーターのフォーマットが正しくないために発生します。次の項目を確認してください。

1. 区切り文字の確認：EIAM では、scope パラメーター内の複数の値を、OAuth 2.0 標準で定義されているスペースではなく、縦棒 | で区切る必要があります。フォーマットが <M2M サーバーの ResourceServer Identifier>|<M2M サーバーの Scope Value> になっていることを確認してください。

2. 権限付与の確認：M2M サーバーアプリケーションの「承認済みアプリケーション」タブで M2M クライアントアプリケーションが承認されており、必要な権限が選択されていることを確認します。

AssumeRoleWithOIDC を呼び出すと RAM が InvalidIdentityToken エラーを返す

このエラーは通常、OIDC ID プロバイダーの設定と EIAM アプリケーションの設定が一致しないことが原因で発生します。RAM OIDC ID プロバイダーの「[発行者 URL]」と「[クライアント ID]」が、EIAM M2M サーバーアプリケーションの「Issuer URL」と「ResourceServer Identifier」と完全に一致していることを確認してください。

AssumeRoleWithOIDC を呼び出すと RAM が AccessDenied エラーを返す

このエラーは、リクエストが RAM ロールの信頼ポリシーの条件を満たしていないことを示します。次の項目を確認してください。

• oidc:sub の確認：RAM ロールの信頼ポリシーの Condition にある oidc:sub の値が、EIAM M2M クライアントアプリケーションの client_id であることを確認します。ここで M2M サーバーアプリケーションの ID を入力するのはよくある間違いです。

• oidc:aud の確認：Condition にある oidc:aud の値が、RAM OIDC ID プロバイダーの「[クライアント ID]」と一致していることを確認します。