DataWorks:(上級) RAMロールを使用してDataWorksコンソールにログオンし、DataWorksを使用する

注意事項

• ロールベースのSSOを使用してアクセスできるのは、[maxcompute] または [hologres] コンピューティングエンジンに関連付けられているDataWorksワークスペースのみです。

• RAMユーザーまたはRAMロールを使用してユーザーに必要な権限を付与するには、AliyunRAMFullAccess ポリシーをRAMユーザーまたはRAMロールにアタッチする必要があります。詳細については、「RAMユーザーに権限を付与する」をご参照ください。

手順 1：RAMロールを作成する

1. [RAMコンソール] にログオンします。

   Alibaba Cloudアカウントとパスワードを使用してRAMコンソールにログオンします。

2. 左側のナビゲーションペインで、[ID] > [ロール] を選択します。

3. RAMロールを作成します。

   [ロール] ページで、[ロールの作成] をクリックし、画面の指示に従ってRAMロールを作成します。

   • RAMユーザーがAlibaba Cloud管理コンソールでIDを切り替えることによってRAMロールを引き受けるようにするには、[信頼エンティティの選択] で [alibaba Cloudアカウント] を選択します。詳細については、「信頼できるAlibaba CloudアカウントのRAMロールを作成する」をご参照ください。

   • オンプレミスのIDプロバイダー（IdP）がRAMロールを引き受けるようにするには、[信頼エンティティの選択] で [idp] を選択します。詳細については、「信頼できるIdPのRAMロールを作成する」をご参照ください。

手順 2：RAMロールの信頼ポリシーを定義する

[ロール] ページで、RAMロールの名前をクリックします。表示されるページで、[信頼ポリシー] タブをクリックし、RAMロールの信頼ポリシーを定義します。信頼ポリシードキュメントには2つの部分があります。最初の部分では、RAMロールをRAMユーザーまたはオンプレミスのIdPが引き受けることができることを定義します。2番目の部分では、RAMロールをDataWorksサービスが引き受けることができることを定義します。次のセクションでは、さまざまなシナリオにおけるRAMロールの信頼ポリシーについて説明します。ビジネス要件に基づいて信頼ポリシーを選択できます。

シナリオ 1：RAMロールをRAMユーザーが引き受ける

RAMユーザーがRAMロールを引き受けてDataWorksを使用するようにするには、RAMロールに次のポリシードキュメントを設定します。

{
    "Statement": [
        {
            // RAM ユーザーがロールを引き受けることを許可します。
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::UID:root"
                ]
            }
        },
        {
            // DataWorks サービスがロールを引き受けることを許可します。
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

シナリオ 2：RAMロールをオンプレミスのIdPが引き受ける

オンプレミスのIdPがRAMロールを引き受けてDataWorksを使用するようにするには、RAMロールに次のポリシードキュメントを設定します。

{
   "Statement": [
        {
            // オンプレミスの IdP がロールを引き受けることを許可します。
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "saml:recipient": "https://signin.aliyun.com/saml-role/sso"
                }
            },
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::UID:saml-provider/IDP"
                ]
            }
        },
        {
            // DataWorks サービスがロールを引き受けることを許可します。
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

手順 3：RAMロールを引き受ける必要があるRAMユーザーに AliyunSTSAssumeRoleAccess ポリシーをアタッチする

RAMユーザーがRAMロールを引き受けるようにするには、RAMユーザーに AliyunSTSAssumeRoleAccess ポリシーをアタッチする必要があります。これにより、RAMユーザーはSTSの AssumeRole 操作を呼び出して、RAMロールのSTSトークンを取得できます。詳細については、「RAMユーザーに権限を付与する」をご参照ください。

手順 4：RAMロールを引き受けるRAMユーザーを使用してDataWorksコンソールにログオンする

この手順の操作を実行すると、RAMロールとしてDataWorksを使用できます。ロールベースのSSOの詳細については、「概要」をご参照ください。

1. RAMユーザーとして [DataWorksコンソール] にログオンします。

2. IDを切り替えます。

   DataWorksコンソールにログオンした後、右上隅のユーザープロファイルにポインターを移動し、[IDの切り替え] を選択してRAMロールに切り替えます。