DataWorks:RAM ロールを使用した DataWorks へのログイン （上級）

注意事項

• DataWorks では、RAM ロールを使用した操作をサポートしているのは、[MaxCompute] および [Hologres] データソースのみです。

• RAM ユーザーまたはロールで以下の認可操作を実行するには、RAM ユーザーまたはロールに AliyunRAMFullAccess ポリシーをアタッチする必要があります。権限の付与方法の詳細については、「RAM ユーザーへの権限付与」をご参照ください。

ステップ 1： RAM ロールの作成

1. RAM コンソールにログインします。

2. 左側のナビゲーションペインで、アイデンティティ > ロール の順に選択します。

3. ロールを作成します。

   Role ページで、[ロールの作成] をクリックします。

   • Alibaba Cloud 管理コンソールで ID を切り替えてロールを引き受けるには、ロールタイプとして Alibaba Cloudアカウント を選択します。詳細については、「信頼できる Alibaba Cloud アカウントの RAM ロールの作成」をご参照ください。

   • ID プロバイダー (IdP) のアカウントを使用して Alibaba Cloud にログインすることでロールを引き受けるには、ロールタイプとして [ID プロバイダー] を選択します。詳細については、「信頼できる IdP の RAM ロールの作成」をご参照ください。

ステップ 2：信頼ポリシーの設定

[アイデンティティ] > Role ページで、ロールの名前をクリックします。[信頼ポリシー] タブで、RAM ロールの信頼ポリシーを定義します。このポリシーでは、対象のユーザー (RAM ユーザーまたは IdP ユーザー) と DataWorks サービスの両方がロールを引き受けることを許可する必要があります。シナリオに一致する以下のポリシーを選択してください。

シナリオ 1：RAM ユーザーがロールを引き受ける場合

RAM ユーザーが RAM ロールを引き受けて DataWorks にアクセスできるようにするには、RAM ロールの信頼ポリシーを次のように変更します。

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::UID:root"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

シナリオ 2：IdP ユーザーがロールを引き受ける場合

IdP のユーザーが RAM ロールを引き受けて DataWorks にアクセスできるようにするには、RAM ロールの信頼ポリシーを次のように変更します。

{
   "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "saml:recipient": "https://signin.aliyun.com/saml-role/sso"
                }
            },
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::UID:saml-provider/IDP"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

ステップ 3：AliyunSTSAssumeRoleAccess ポリシーのアタッチ

IdP のユーザーの代わりに RAM ユーザーを使用して RAM ロールを引き受ける場合は、AliyunSTSAssumeRoleAccess ポリシーを RAM ユーザーにアタッチします。このポリシーにより、ユーザーは Security Token Service (STS) の AssumeRole API を呼び出して、ロールの一時的なセキュリティ認証情報を取得できます。ポリシーのアタッチ方法の詳細については、「RAM ユーザーへの権限付与」をご参照ください。

ステップ 4：RAM ロールとしてログイン

このセクションでは、RAM ユーザーが RAM ロールを引き受けて DataWorks にログインし、使用する方法について説明します。ロールベースの SSO の詳細については、「SAML ベースのロール SSO の概要」をご参照ください。

1. RAM ユーザーとして DataWorks コンソール にログインします。

2. ID を切り替えます。

   DataWorks コンソールに入ったら、右上のプロフィール画像にカーソルを合わせ、[ID の切り替え] をクリックして RAM ロールを使用してログインします。