Alibaba Cloud アカウントを直接使用して ApsaraMQ for RabbitMQ にアクセスすると、認証情報が漏洩した場合にそのアカウント配下のすべてのリソースが危険にさらされます。特に要件がない限り、Resource Access Management (RAM) を使用して、権限範囲を限定した個別の ID (ユーザー、ユーザーグループ、ロール) を作成してください。これにより、各ユーザーやアプリケーションは必要なリソースにのみアクセスできるようになります。
RAM ユーザー
RAM ユーザーは、Alibaba Cloud アカウントに属する ID です。RAM ユーザーに必要な権限を付与すると、その RAM ユーザーは所属する Alibaba Cloud アカウント内の Alibaba Cloud リソースに、Alibaba Cloud 管理コンソールまたは API オペレーションの呼び出しを通じてアクセスできます。
Alibaba Cloud アカウント、管理者権限を持つ RAM ユーザー、および管理者権限を持つ RAM ロールは、いずれも RAM ユーザーを作成できます。
アクセスモード
RAM ユーザーを作成する際は、[アクセスモード] パラメーターを次のいずれかのオプションに設定します。
| アクセスモード | 説明 |
|---|---|
| コンソールアクセス | RAM ユーザーはユーザー名とパスワードを使用して Alibaba Cloud 管理コンソールにログインします。 |
| 永続的な AccessKey を使用したアクセス | RAM ユーザーは AccessKey ペアを使用して API オペレーションを呼び出します。 |
| 両方 | RAM ユーザーはコンソールアクセスと API アクセスの両方を利用できます。 |
コンソールアクセスが必要なユーザーと、API アクセスが必要なアプリケーションとで、RAM ユーザーを個別に作成してください。このように分離することで、意図しない操作による影響を防ぐことができます。
セキュリティに関する推奨事項
最初に管理者 RAM ユーザーを作成する：Alibaba Cloud アカウントを使用して、管理者権限を持つ RAM ユーザーを作成します。その後は、Alibaba Cloud アカウントではなく、その RAM ユーザーを使用して他の RAM ユーザーを作成・管理してください。
コンソールアクセスに MFA を有効化する：コンソールにログインするすべての RAM ユーザーに対して、多要素認証 (MFA) を有効にしてください。MFA は、パスワードに加えて第二の検証ステップを追加します。
最小権限を付与する：RAM ユーザーには、必要最小限の権限のみを付与してください。過度に広範な権限は、偶発的な変更や不正アクセスのリスクを高めます。
AccessKey ペアをソースコードに含めない：AccessKey ID や AccessKey Secret をソースコードに決して埋め込まないでください。AccessKey ペアが漏洩すると、アカウント内のすべてのリソースが危険にさらされます。代わりに、Security Token Service (STS) トークンまたは環境変数を使用してください。
利用可能な場合は SSO を有効化する：所属する組織がエンタープライズ ID プロバイダーを使用している場合は、シングルサインオン (SSO) を有効にしてください。これにより、RAM ユーザーは既存の ID 管理システムを通じてログインできるようになります。
RAM ユーザーグループ
RAM ユーザーグループを使用すると、複数の RAM ユーザーの権限を一度に管理できます。各 RAM ユーザーに個別にポリシーをアタッチする代わりに、グループにポリシーをアタッチし、そのグループにユーザーを追加します。
セキュリティに関する推奨事項
グループレベルで最小権限を付与する：グループポリシーの範囲を、グループメンバーが必要とする最小限の権限に限定してください。
職責が変更された場合はユーザーを削除する：RAM ユーザーの職務が変更された場合は、その職責に合わなくなったグループからユーザーを削除してください。
未使用のグループ権限を取り消す：定期的にグループポリシーを見直し、グループが不要になった権限を取り消してください。
RAM ロール
RAM ロールは、パスワードや AccessKey ペアといった永続的な認証情報を持たない仮想 ID です。ロールにはポリシーをアタッチしますが、ロールは信頼できるエンティティによって引き受けられた後でなければ使用できません。信頼できるエンティティは、一時的な STS トークンを受け取り、そのロールとして Alibaba Cloud リソースにアクセスします。
ロールの引き受けの仕組み
信頼できるエンティティが、AssumeRole API オペレーションを呼び出します。
STS は、RAM ロールにアタッチされた権限を持つ一時的なトークンを返します。
信頼できるエンティティは、トークンが有効期限切れになるまで、そのトークンを使用して Alibaba Cloud リソースにアクセスします。
STS トークンの最大有効期間は、RAM ロールに設定された最大セッション期間と同じです。セキュリティリスクを軽減するために、この期間を適切な値に設定してください。
セキュリティに関する推奨事項
作成後は信頼できるエンティティを固定する：RAM ロールを作成した後は、その信頼できるエンティティの変更を避けてください。信頼できるエンティティを削除すると権限が失われる可能性があり、追加すると権限昇格につながる恐れがあります。RAM ロールに変更を適用する前に、あらゆる変更を徹底的にテストしてください。
適切なセッション期間を設定する：セキュリティリスクを軽減するために、RAM ロールの最大セッション期間を適切な値に設定してください。STS トークンの有効期間を短くすることで、トークンが漏洩した場合のリスクにさらされる時間を短縮できます。
ロールベースのアクセスに SSO を有効化する：所属する組織がエンタープライズ ID プロバイダーを使用している場合は、SSO を有効にしてください。これにより、フェデレーテッドユーザーは ID 管理システムから直接ロールを引き受けることができます。