RAM ユーザーを作成し、クラウドリソースのきめ細かなアクセス制御に必要な最小限の権限を付与します。
RAM ユーザーを使用する理由
Alibaba Cloud アカウントは、Linux システムのルートユーザーに似ています。完全な権限を持ちますが、日常的な使用には適していません。複数の従業員がクラウドリソースで共同作業する必要がある場合は、 Resource Access Management (RAM) を使用して、お使いの Alibaba Cloud アカウントで RAM ユーザーを作成し、各ユーザーにはタスクに必要な最小限の権限のみを付与します。
|
項目 |
Alibaba Cloud アカウント |
RAM ユーザー |
|
ID ロール |
すべてのリソースの所有者。完全な所有権と最高の権限を持ちます。 |
リソースとサービスの利用者。権限は Alibaba Cloud アカウントによって付与されます。通常、特定の人またはアプリケーションに対応します。 |
|
クラウドリソースの所有 |
はい |
いいえ。リソースは Alibaba Cloud アカウントによって所有されます。 |
|
デフォルトの権限 |
完全な権限。制限はできません。 |
デフォルトでは権限はありません。Alibaba Cloud アカウントによる権限付与が必要です。 |
|
推奨される使用方法 |
主要な管理操作のみ： 権限付与、支払い、アカウント管理。 |
日常の開発、運用保守 (O&M)、デプロイメント、その他のタスク。 |
手順
RAM ユーザーの作成：コンソールの クイックスタート を使用して、 [監査管理者] 権限を持つ [RAM ユーザー] を作成します。
RAM ユーザーとしてログイン：新しく作成した RAM ユーザーとしてコンソールにログインし、初期設定を完了します。
RAM ユーザーの権限の検証：権限が正常に付与されたことを確認します。
既存の Alibaba Cloud アカウントを RAM ユーザーに直接変換することはできません。すでに独自の Alibaba Cloud アカウントを持っているユーザーのために RAM ユーザーを作成するには、お使いの Alibaba Cloud アカウントで新しい RAM ユーザーを作成し、権限を付与します。
ステップ 1：RAM ユーザーの作成
ユーザーの迅速な作成と権限付与
お使いの Alibaba Cloud アカウントでRAM コンソールにログインします。
概要 ページで、 をクリックし、目的のシナリオを選択します。
この例では、 [監査管理者] シナリオを使用します。 [監査管理者] は、CloudConfig、ActionTrail、Log Service の完全な権限を持ち、すべての Alibaba Cloud リソースのステータスを表示できます。
左側の [ワークフロープレビュー] には、監査管理者シナリオの手順が表示されます：ユーザーの作成、ユーザーログイン設定の作成、ユーザーグループの作成、ユーザーグループへのユーザーの追加、カスタムポリシーの作成、ユーザーグループへのポリシーのアタッチ。
設定パラメーターを表示または変更します。
すべてのプリセットパラメーターが表示されますが、変更できるのは一部のみです。変更可能なパラメーターについてはコンソールで確認してください。
実行 をクリックします。
設定の進捗状況を確認します。設定が完了したら、RAM ユーザーのユーザー名とログインパスワードを保存してください。
クイックスタートで作成した RAM ユーザーの設定は、後から RAM コンソールで変更できます。詳細については、「RAM ユーザーの基本情報の変更」をご参照ください。
RAM ユーザーの作成と権限の管理を手動で行うには、「RAM ユーザーの作成」、「RAM ユーザー権限の管理」、「RAM ユーザーからの権限の削除」をご参照ください。
アカウントエイリアスの設定 (推奨)
RAM ユーザーのデフォルトのログイン名は <UserName>@<AccountAlias>.onaliyun.com です。ここで、<AccountAlias>.onaliyun.com は Alibaba Cloud アカウントの デフォルトドメイン であり、<AccountAlias> は [アカウントエイリアス] です。デフォルトでは、[アカウントエイリアス] は Alibaba Cloud アカウントの アカウント ID です。RAM ユーザーを作成する前に、覚えやすいアカウントエイリアスを設定することをお勧めします。これにより、16 桁の アカウント ID が置き換えられ、RAM ユーザーのログインが簡素化されます。
[デフォルトドメイン] を変更するには、次の手順に従ってください：
お使いの Alibaba Cloud アカウントでRAM コンソールにログインします。
ナビゲーションペインで、 を選択します。 デフォルトドメイン の横にある エディット をクリックして変更します。
Alibaba Cloud アカウントまたは RAM 管理者権限を持つ RAM ユーザーのみが、デフォルトドメイン名を設定または変更できます。
アカウントエイリアスはすぐに有効になります。新しく作成されるすべての RAM ユーザーのログイン名は、デフォルトでこのエイリアスを使用します。
ステップ 2：RAM ユーザーとしてのログイン
RAM ユーザーとしてコンソールにログインするには、次のいずれかの URL を使用します。アカウントの [デフォルトドメイン] を毎回入力する手間を省くには、専用ログイン URL を使用します。
一般的なログイン URL
新しく作成した RAM ユーザーとしてAlibaba Cloud 管理コンソールにログインします。
説明RAM ユーザーのログインページは、Alibaba Cloud アカウントのログインページとは異なります。詳細については、「RAM ユーザーとして Alibaba Cloud 管理コンソールにログイン」をご参照ください。
専用ログイン URL
RAM コンソールの 概要 ページから RAM ユーザーのログイン URL を取得します。この URL を使用すると、RAM ユーザーはアカウントの [デフォルトドメイン] を入力せずにログインできます。
[基本情報] セクションで、
https://signin.alibabacloud.com/{デフォルトドメイン名}/login.htm形式の ログイン URL を見つけます。右側の [ログインURLをコピー] をクリックします。[RAMユーザーログイン] ページで、RAM ユーザー名を入力し、 [次へ] をクリックします。
RAM ユーザーのパスワードを入力し、 [ログイン] をクリックします。
初回ログイン時に、多要素認証 (MFA) デバイスをバインドする必要があります。その後のログインでは、MFA コードの入力を求められます。詳細については、「RAM ユーザーの MFA デバイスのバインド」をご参照ください。
RAM ユーザーパスワードのリセット：デフォルトでは、[使用開始] ウィザードで作成された RAM ユーザーは、初回ログイン時にパスワードをリセットする必要があります。
ステップ 3：権限の検証
作成した [監査管理者] は、CloudConfig、ActionTrail、Log Service の完全な権限を持ち、すべての Alibaba Cloud リソースのステータスを表示できます。ここでは、 [ActionTrail] と RAM を例に権限を検証します。
RAM ユーザーとしてコンソールにログインした後、右上のプロフィール写真にカーソルを合わせると、ユーザー情報が表示されます。
パネルには、RAM ユーザーの ログインメールアドレス、 アカウント ID、 現在のアイデンティティ、 アカウントエイリアス、 Alibaba Cloud アカウント ID などの情報が表示されます。
ActionTrail コンソールに移動し、操作を実行してみます。
たとえば、ナビゲーションペインで、 を選択して、すべてのサービスのイベントレコードを表示します。
RAM コンソールに移動します。
ナビゲーションペインで、 を選択して、作成された RAM ユーザーを表示します。
「RAM ユーザーの作成」の手順を繰り返します。アクセス拒否エラーが表示されます。
一般的な権限問題のトラブルシューティング
RAM ユーザーがクラウドリソースにアクセスした際にアクセス拒否エラーが発生した場合は、「アクセス拒否エラーのトラブルシューティング方法」をご参照ください。
関連トピック
詳細な手順については、次のトピックをご参照ください：