すべてのプロダクト
Search

このプロダクト

    ApsaraMQ for Kafka:RAM ロールによるクロスアカウントアクセス

    ドキュメントセンター

    ApsaraMQ for Kafka:RAM ロールによるクロスアカウントアクセス

    最終更新日:May 01, 2026

    Resource Access Management (RAM) の RAM ロールを使用して、クロスアカウントアクセスを許可できます。これにより、ある企業が別の企業の ApsaraMQ for Kafka リソースにアクセスできるようになります。

    背景情報

    企業 A は ApsaraMQ for Kafka を有効化しており、企業 B に自社の ApsaraMQ for Kafka リソース（インスタンス、Topic、Group など）の運用管理を委託する必要があります。企業 A には以下の要件があります。

    • 企業 A は業務システムに注力し、ApsaraMQ for Kafka サービスのオーナーとしてのみ機能したいと考えています。そのため、運用・保守 (O&M)、モニタリング、ApsaraMQ for Kafka の管理などの運用タスクを企業 B に委任したいです。

    • 企業 B の従業員が入社または退職するたびに権限設定を変更したくありません。企業 B は、自社の RAM ユーザー（従業員またはアプリケーション）に対して企業 A のリソースへのアクセス権限をデリゲートし、詳細なレベルでアクセス権限を管理できる必要があります。

    • 契約終了時など、任意のタイミングで企業 B のアクセス権限を取り消せる必要があります。

    ステップ 1：企業 A として RAM ロールを作成する

    企業 A の Alibaba Cloud アカウントで RAM コンソールにログインし、企業 B の Alibaba Cloud アカウント用の RAM ロールを作成します。

    1. RAM 管理者として、RAM コンソール にログインします。

    2. 左側のナビゲーションウィンドウで、アイデンティティ > ロール を選択します。

    3. ロール ページで、ロール作成 をクリックします。

      image

    4. ロール作成 ページで、Principal Type を Cloud Account に設定し、信頼される Alibaba Cloud アカウントを指定して、OK をクリックします。

      image

      • 現在のアカウント：現在の Alibaba Cloud アカウント配下のすべての RAM ユーザーおよび RAM ロールに、作成中の RAM ロールを偽装させたい場合は、現在のアカウント を選択します。

      • 他のアカウント：別の Alibaba Cloud アカウントに属するすべての RAM ユーザーおよび RAM ロールに、作成中の RAM ロールを偽装させたい場合は、他のアカウント を選択し、他方の Alibaba Cloud アカウント (メインアカウント) の ID を入力します。このオプションは、Alibaba Cloud アカウント間でリソースへのアクセスを許可するシナリオで主に使用されます。詳細については、「Access resources across Alibaba Cloud accounts」をご参照ください。Alibaba Cloud アカウント ID (メインアカウント) は、Security Settings ページで確認できます。

    5. Role Name テキストボックスに RAM ロールの名前を入力します。信頼できる Alibaba Cloud アカウントを選択 セクションで、その他の Alibaba Cloud アカウント を選択し、企業 B の Alibaba Cloud アカウント ID を入力して、Completed をクリックします。

      説明

      • RAM ロール名には英字、数字、ハイフン (-) を使用でき、最大 64 文字までです。

      • アカウント ID は、アカウント管理 コンソールの セキュリティ設定 ページで確認できます。

    ステップ 2：RAM ロールに権限を付与する

    ApsaraMQ for Kafka へのアクセス権限を RAM ロールに付与します。

    1. RAM 管理者として、RAM コンソール にログインします。

    2. 左側のナビゲーションウィンドウで、アイデンティティ > ロール を選択します。

    3. ロール ページで、対象の RAM ロールを見つけ、 Actions 列の 権限の付与 をクリックします。

    4. 権限の付与 パネルの Policy セクションで、追加するポリシーの名前を検索ボックスに入力します。ポリシーをクリックして右側の Selected Policies リストに追加し、Confirm Grant Permission をクリックします。

      説明

      ApsaraMQ for Kafka へのアクセスを許可するためのポリシーについては、「RAM policies」をご参照ください。

    ステップ 3：企業 B として RAM ユーザーを作成する

    企業 B の Alibaba Cloud アカウントで RAM コンソールにログインし、RAM ユーザーを作成します。

    操作手順

    コンソール

    1. Alibaba Cloud アカウント、または管理者権限を持つ RAM ユーザー（AliyunRAMFullAccess ポリシーがアタッチされているユーザー）として、RAM コンソール にサインインします。

    2. 左側のナビゲーションウィンドウで、アイデンティティ > ユーザー を選択します。

    3. ユーザー ページで、ユーザーの作成 をクリックします。

    4. ユーザーの作成 ページの ユーザーアカウント情報 セクションで、ユーザーの基本情報を設定します。

      • ログイン名 (required)：名前には英字、数字、ピリオド (.)、ハイフン (-)、アンダースコア (_) を使用でき、最大 64 文字までです。

      • Display Name (optional)：名前は最大 128 文字までです。

      • Tag (optional)：edit をクリックして、タグキーとタグ値を入力します。タグを使用すると、ユーザーの分類と管理が容易になります。

      説明

      ユーザーの追加 をクリックすると、複数の RAM ユーザーを一括で作成できます。

    5. アクセスモード セクションで、ユーザーの種類に応じてアクセスモードを選択します。

      重要

      • セキュリティ上のベストプラクティスとして、ユーザーごとに 1 つのアクセスモードのみを選択することを推奨します。これにより、コンソールアクセスが必要な人間ユーザーと、プログラムによるアクセスが必要なアプリケーションとの間に明確な区別が生まれます。

      • AccessKey ペア が漏洩すると、アカウントのセキュリティが侵害されます。漏洩リスクを低減するために、Security Token Service (STS) tokens（一時的な認証情報）の使用を優先してください。詳細については、「Best practices for using access credentials to call Alibaba Cloud APIs」をご参照ください。

      Console accessコンソールへのアクセス

      コンソールへのアクセス を選択します。

      • ログインパスワードの設定：パスワードを自動生成するか、カスタムパスワードを設定するかを選択できます。カスタムパスワードは、設定されたパスワード強度要件を満たしている必要があります。詳細については、「Set a password policy for RAM users」をご参照ください。

      • パスワードのリセット：RAM ユーザーが次回サインイン時にパスワードをリセットする必要があるかどうかを選択します。

      • MFA の有効化：デフォルトでは、すべてのユーザーがサインインする際に多要素認証 (MFA) が必須です。この設定を変更するには、「Manage security settings for RAM users」をご参照ください。RAM ユーザーは初回サインイン時に MFA デバイスをバインドする必要があります。詳細については、「Bind an MFA device」をご参照ください。

      Programmatic access

      Using permanent AccessKey to access を選択します。

      このオプションを有効にすると、システムが RAM ユーザー用に自動的に AccessKey ID および AccessKey secret を作成します。

      重要

      RAM ユーザーの AccessKey secret は作成時のみ表示され、後から取得することはできません。AccessKey secret は直ちにダウンロードまたはコピーして保存する必要があります。AccessKey ペア が漏洩すると、ご利用のアカウント配下のすべてのリソースのセキュリティが著しく損なわれます。詳細については、「Create an AccessKey pair」をご参照ください。

    OpenAPI

    コンソールアクセス用の RAM ユーザーを作成する

    1. GetDefaultDomain を呼び出して、アカウントのデフォルトログインサフィックスを取得します。形式は <AccountAlias>.onaliyun.com です。

    2. CreateUser 操作を呼び出して RAM ユーザーを作成します。次のパラメーターが必要です。

      1. UserPrincipalName：RAM ユーザーのログイン名。形式は <username>@<AccountAlias>.onaliyun.com で、<username> は RAM ユーザー名、<AccountAlias>.onaliyun.com はデフォルトログインサフィックスです。

      2. DisplayName：RAM ユーザーの表示名。<username> とは異なる名前にできます。

    3. CreateLoginProfile 操作を呼び出してログインプロファイルを作成し、アクセスモードおよび MFA 要件を設定します。一部のパラメーターについて推奨される設定は以下のとおりです。

      1. UserPrincipalName：前ステップで作成したユーザーの情報。

      2. Password：アカウントのパスワード強度要件に従ってパスワードを設定します。現在のアカウントにおける RAM ユーザーのパスワード強度ポリシーを照会するには、GetPasswordPolicy 操作を呼び出します。

      3. MFABindRequired：RAM ユーザーに MFA の有効化を必須とすることを推奨します。推奨されるパラメーター値は true です。

      4. Status：コンソールパスワードログインを有効にするかどうかを指定します。デフォルト値は Active です。

    プログラムによるアクセス用の RAM ユーザーを作成する

    1. GetDefaultDomain を呼び出して、アカウントのデフォルトログインサフィックスを取得します。サフィックスの形式は <AccountAlias>.onaliyun.com です。

    2. CreateUser 操作を呼び出して RAM ユーザーを作成します。次のパラメーターが必要です。

      1. UserPrincipalName：形式が <username>@<AccountAlias>.onaliyun.com の RAM ユーザーのログイン名で、<username> は RAM ユーザー名、<AccountAlias>.onaliyun.com はデフォルトログインサフィックスです。

      2. DisplayName：RAM ユーザーの表示名で、<username> とは異なる名前にできます。

    3. AccessKey ペア (AccessKey) を作成するには、CreateAccessKey 操作を呼び出し、前ステップで作成したユーザーの UserPrincipalName のみを渡します。

      重要

      CreateAccessKey API 呼び出しの応答には、AccessKeyId および AccessKeySecret が含まれます。AccessKeySecret はこの応答でのみ提供され、後から取得することはできません。直ちに保存する必要があります。AccessKey の漏洩は、ご利用のアカウント内のすべてのリソースのセキュリティを著しく脅かします。詳細については、「Create an AccessKey」をご参照ください。

    ステップ 4：RAM ユーザーに権限を付与する

    RAM ユーザーに AliyunSTSAssumeRoleAccess ポリシーをアタッチします。

    1. RAM コンソール にログインします。

    2. 左側のナビゲーションウィンドウで、Identities > Users を選択します。

    3. ユーザー ページで、作成した RAM ユーザーを見つけ、Actions 列の Attach Policy をクリックします。

    4. 権限の付与 パネルの Policy エリアで、追加するポリシーを検索ボックスに入力し、ポリシーをクリックして右側の Selected Policies リストに追加してから、Grant Permission をクリックします。

    次のステップ

    企業 B の RAM ユーザーは、以下の方法で企業 A の ApsaraMQ for Kafka にアクセスできます。

    • コンソール

      1. ブラウザで RAM User Logon page を開きます。

      2. RAM User Logon ページで、RAM ユーザー名を入力し、次へ をクリックしてパスワードを入力し、Log On をクリックします。

        説明

        RAM ユーザーログイン名の形式は <$username>@<$AccountAlias> または <$username>@<$AccountAlias>.onaliyun.com です。<$AccountAlias> はアカウントエイリアスです。アカウントエイリアスが設定されていない場合、Alibaba Cloud アカウント ID がエイリアスとして使用されます。

      3. RAM ユーザーのホームページで、右上隅のプロフィール画像にポインターを合わせ、Switch Identity をクリックします。

      4. Switch Role ページで、企業 A のアカウントエイリアスまたはデフォルトドメイン名と RAM ロール名を入力し、Submit をクリックします。

        説明

        • アカウントエイリアス：企業 A の Alibaba Cloud アカウントで Alibaba Cloud コンソールにログインし、右上隅のプロフィール画像にポインターを合わせるとエイリアスを確認できます。

        • デフォルトドメイン名：企業 A の Alibaba Cloud アカウントで RAM コンソールにログインし、Setting ページの Advanced Settings タブでデフォルトドメイン名を確認できます。

    • API

      1. AssumeRole 操作を呼び出して、AccessKey ID、AccessKey Secret、STS トークンを取得します。詳細については、「AssumeRole」をご参照ください。

      2. 取得した認証情報（AccessKey ID、AccessKey Secret、STS トークン）を使用して API を呼び出し、ApsaraMQ for Kafka にアクセスします。