すべてのプロダクト
Search

このプロダクト

    Resource Access Management:RAM ユーザーの権限の管理

    ドキュメントセンター

    Resource Access Management:RAM ユーザーの権限の管理

    最終更新日:Sep 29, 2026

    新しく作成された RAM ユーザーには、デフォルトでは権限がありません。RAM ユーザーが権限付与範囲内の Alibaba Cloud リソースにアクセスしたり、管理したりできるようにするには、まず権限を付与する必要があります。このトピックでは、セキュリティのベストプラクティスとトラブルシューティングガイダンスとともに、RAM ユーザーの権限を付与、表示、取り消す方法について説明します。

    基本概念

    権限を付与する前に、以下の概念を理解してください：

    • 権限ポリシーの種類

      権限ポリシーは、アクセス権限のセットです。Resource Access Management (RAM) は 2 種類のポリシーをサポートしています。一度に複数のポリシーを RAM ユーザーにアタッチできます。常に最小権限の原則に従ってください。

      • システムポリシー：Alibaba Cloud によって事前定義されたポリシーです。例えば、AliyunECSReadOnlyAccess (Elastic Compute Service (ECS) への読み取り専用アクセス) や AliyunOSSFullAccess (Object Storage Service (OSS) へのフルアクセス) などがあります。完全なリストについては、「システムポリシーリファレンス」をご参照ください。

      • カスタムポリシー：システムポリシーでは満たせない、きめ細かな要件のために作成するポリシーです。付与する前に、カスタムポリシーを作成する必要があります。購入関連の権限については、「RAM ユーザーがリソースを購入するために必要な権限」をご参照ください。

    • 権限付与の動作と制限

      • 即時有効：権限は即時に有効になります。待機期間や再ログインは必要ありません。

      • 数量制限：各 RAM ユーザーには、アタッチ可能なシステムポリシーとカスタムポリシーの最大数があります。詳細については、「使用制限」をご参照ください。

      • リソースグループの制約：対象のクラウドサービス、操作、リソースタイプがリソースグループレベルの権限付与をサポートしていることを確認してください。詳細については、「リソースグループレベルの権限付与をサポートするクラウドサービス」をご参照ください。

    RAM ユーザーへの権限の付与

    RAM ユーザーを作成していない場合は、「基本操作」に従って作成してください。RAM ユーザーを作成した後、最小権限の原則に従い、ユーザーの業務に必要な権限のみを付与してください。

    コンソール

    RAM コンソールには 2 つのエントリーポイントがあり、どちらも単一および一括の権限付与をサポートしています：

    • ユーザーページ：選択したユーザーに基づいてプリンシパルが自動的に選択されます。ユーザー中心のワークフローに最適です。

    • 権限付与ページ：手動でプリンシパルを選択し、アカウント全体のすべての権限付与レコードを表示できます。権限中心のワークフローに最適です。

    説明

    ヒント：大規模な管理を行うには、同じ職責を持つ RAM ユーザーをユーザーグループに追加し、そのグループに権限を付与します。[ID] > [ユーザーグループ] に移動してグループを管理します。

    [ユーザー] ページからの操作

    1. RAM コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、ID > ユーザー を選択します。

    3. [ユーザー] ページで、対象の RAM ユーザーを見つけ、[操作] 列の [ポリシーのアタッチ] をクリックします。

      複数の RAM ユーザーを選択し、ユーザーリストの下にある [ポリシーのアタッチ] をクリックして、一括で権限を付与することもできます。

    4. [権限の付与] パネルで、次の設定項目を構成します：

      • リソース範囲：

        • アカウントレベル：権限は、ご利用の Alibaba Cloud アカウント内のすべてのリソースに適用されます。

        • リソースグループレベル：権限は、指定されたリソースグループ内でのみ適用されます。ログイン後、RAM ユーザーは上部のナビゲーションバーで、権限が付与されたリソースグループに切り替える必要があります。

          説明

          1. システムは、高リスクのシステムポリシー (例：`AdministratorAccess`、`AliyunRAMFullAccess`) に警告インジケーターを表示します。これらのポリシーは通常、すべてのクラウドリソースに対する完全な制御、または RAM の完全な管理権限を付与します。これらのポリシーは慎重に付与してください。

          2. リソースグループの権限付与の例については、「特定の ECS インスタンスへの RAM ユーザーのアクセス制御」をご参照ください。

      • プリンシパル：

        プリンシパルは権限を受け取る RAM ユーザーです。[ユーザー] ページからは、システムが現在のユーザーを自動的に選択します。[権限付与] ページからは、手動でユーザーを選択する必要があります。一括選択もサポートされています。

      • 権限ポリシー：

        • システムポリシー：検索して選択します。プロダクト名 (例：ECS、OSS)、アクセスレベル (例：ReadOnly、FullAccess)、または完全なポリシー名でフィルタリングできます。例えば、財務管理 (費用とコスト) の権限を付与するには、BSS を検索して AliyunBSSFullAccess (課金とコスト管理へのフルアクセス) やその他の財務関連ポリシーを見つけます。

          次の表は、一般的にリクエストされる Alibaba Cloud プロダクトのシステムポリシー名の一覧で、適切なポリシーをすばやく見つけるのに役立ちます。

          プロダクト

          システムポリシー名

          アクセスレベル

          課金とコスト管理 (財務)

          AliyunBSSFullAccess

          フルアクセス

          Cloud Monitor

          AliyunCloudMonitorReadOnlyAccess

          読み取り専用

          China Gateway (ウェブサイトビルダー)

          AliyunWebsiteBuildFullAccess

          フルアクセス

          Alibaba Cloud DevOps

          AliyunYunxiaoFullAccess

          フルアクセス

          Model Studio (Bailian)

          AliyunBailianFullAccess

          フルアクセス

          Alibaba Cloud DNS

          AliyunDNSFullAccess

          フルアクセス

          SSL Certificates Service

          AliyunYundunCertFullAccess

          フルアクセス

          クラウドフォン

          AliyunECDFullAccess

          フルアクセス

          サポートセンター

          AliyunSupportFullAccess

          フルアクセス

          リソースセンター

          AliyunResourceCenterFullAccess

          フルアクセス

          AgentBay

          AliyunAgentBayFullAccess

          フルアクセス

          Security Center

          AliyunYundunSASFullAccess

          フルアクセス

          対象のプロダクトのポリシーが見つからない場合は、完全なリストについて「システムポリシーリファレンス」をご参照いただくか、きめ細かなアクセス制御のために「カスタムポリシーを作成」してください。

        • カスタムポリシー：付与する前に、カスタムポリシーを作成する必要があります。

        • 「すべて選択」のページネーション制限：ポリシーリストはページ分割されています。「すべて選択」は現在のページにのみ適用されます。ページを切り替えた後、以前に選択したポリシーは選択済みリストに残りますが、新しいページのポリシーは自動的に選択されません。ページごとに選択する必要があります。

        • 管理者権限の迅速な付与：管理者権限を付与するには、ポリシーをページごとに選択するのではなく、検索ボックスで AdministratorAccess を検索して直接選択します。このポリシーを選択すると、高リスクの権限付与に関する警告がトリガーされます。

      • (任意) 説明：監査目的で、権限付与の理由やシナリオを入力します。

      • [確認] をクリックします。

    5. 権限付与の結果を確認し、[閉じる] をクリックします。

    [権限付与] ページからの操作

    1. RAM コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、権限 > 権限付与 を選択します。

    3. [権限付与] ページで、[権限の付与] をクリックします。

    4. [権限の付与] パネルで、プリンシパルを選択し、上記と同じ設定項目を構成します。

    5. 権限付与の結果を確認し、[閉じる] をクリックします。

    説明

    RAM コンソールの [概要] ページにあるクイックスタート機能を通じて作成された RAM ユーザーには、選択されたシナリオに基づいて対応するシステムポリシーが自動的に付与されるため、手動での権限付与は不要です：

    • スーパーユーザー：PowerUserAccess ポリシーが自動的に付与されます。このユーザーはクラウドサービスとリソースを管理できますが、RAM ID とその権限、リソースディレクトリ、または請求アカウントは管理できません。

    • アカウント管理者：AdministratorAccess ポリシーが自動的に付与されます。このユーザーは、RAM ID と権限を含むすべての Alibaba Cloud リソースを管理できます。

    これらのオプションは、スーパー管理者権限が本当に必要な場合にのみ使用してください。通常の操作では、最小権限の原則に従い、特定のタスクに必要な権限のみを付与してください。

    OpenAPI

    カスタムポリシーの付与

    1. CreatePolicy を呼び出して カスタムポリシーを作成します。ポリシーの構文については、「権限ポリシーの要素」および「サンプルポリシーの概要」をご参照ください。

    2. AttachPolicyToUser を呼び出して、アカウントレベルでポリシーを付与します (PolicyType を Custom に設定)。

      または、AttachPolicy を呼び出して、リソースグループレベルでポリシーを付与します。

    システムポリシーの付与

    • AttachPolicyToUser を呼び出して、システムポリシーを RAM ユーザーにアタッチします (PolicyType を System に設定)。利用可能な PolicyName の値については、「システムポリシーリファレンス」をご参照ください。

    • または、AttachPolicy を呼び出して、リソースグループレベルでポリシーを付与します。

    RAM ユーザーの権限の表示

    コンソール

    重要

    [権限付与] ページ (左側のナビゲーションウィンドウの [権限 > 権限付与) には、権限付与操作の履歴 (ポリシーが付与または取り消されたときのレコード) が表示されます。RAM ユーザーの現在の有効な権限は表示されません。最近権限を付与したにもかかわらず [権限付与] ページで見つからない場合、またはユーザーの現在の権限の完全なリストが必要な場合は、ユーザー詳細ページに移動し、次の手順で説明するように [権限] タブをクリックします。[権限] タブには、個別の権限とユーザーグループから継承された権限の両方が表示されます。

    1. RAM コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、ID > ユーザー を選択します。

    3. [ユーザー] ページで、対象の RAM ユーザー名をクリックします。

    4. [権限管理] タブをクリックして、[ユーザー権限] および [グループ権限] を表示します。

    説明

    実際の権限の使用状況 (最終アクセス時刻、アイドルポリシー、または過剰な権限アクセス) を評価するには、ユーザー詳細ページの [権限監査 (ベータ版)] タブ、または RAM の概要ページの [アクセス分析] を確認してください。

    OpenAPI

    ListPoliciesForUser を呼び出して、指定された RAM ユーザーのアカウントレベルの権限付与リストをクエリします。この操作は、リソースグループレベルの権限付与を返しません。

    RAM ユーザーの権限の取り消し

    説明

    重要：権限を取り消す前に、[権限監査 (ベータ版)] タブで最終使用時刻を確認するか、RAM の概要ページで [アクセス分析] をレビューしてアイドルポリシーを特定してください。これにより、アクティブな権限を誤って削除することを防ぎます。

    コンソール

    2 つのエントリーポイントがあります：

    • [ユーザー] ページ：ユーザー詳細ページからポリシーを取り消します。ユーザー中心のクリーンアップに最適です。

    • [権限付与] ページ：完全な権限付与レコードリストから取り消します。権限中心のクリーンアップに最適です。

    [ユーザー] ページからの操作

    1. RAM コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、ID > ユーザー を選択します。

    3. [ユーザー] ページで、対象の RAM ユーザー名をクリックします。

    4. [権限管理] タブをクリックします。[ユーザー権限] セクションで、対象のポリシーを見つけ、[操作] 列の [権限の取り消し] をクリックします。

    5. [権限の取り消し] ダイアログボックスで、[プリンシパル] と [権限ポリシー] の詳細を確認してから、[権限の取り消し] をクリックします。

    [権限付与] ページからの操作

    1. RAM コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、権限 > 権限付与 を選択します。

    3. [権限付与] ページで、対象の権限付与レコードの [操作] 列の [権限の取り消し] をクリックします。

      複数のレコードを選択し、リストの下にある [権限の取り消し] をクリックして、一括で取り消すこともできます。

    4. [権限の取り消し] ダイアログボックスで、[権限の取り消し] をクリックします。

    OpenAPI

    DetachPolicyFromUser を呼び出して、指定された権限ポリシーを RAM ユーザーから取り消します。

    セキュリティのベストプラクティス

    1. 最小権限の原則に従います。タスクに必要な最小限の権限のみを付与してください。

      1. 例 1：特定の ECS インスタンスの管理

        • 不適切：AdministratorAccess または AliyunECSFullAccess を付与する。

        • 適切：Resource を特定のインスタンス ID に制限するカスタムポリシーを作成する。例については、「特定の ECS インスタンスの管理を許可する」をご参照ください。

      2. 例 2：課金を除くすべての権限

        • 不適切：AdministratorAccess を付与する。

        • 適切："Action": "bss:*","bssapi:*","efc:*" "Effect": "Deny" の明示的な拒否ステートメントを持つカスタムポリシーを作成する。例については、「課金を除くすべてのリソースの管理を許可する」をご参照ください。

    2. 権限を定期的に監査します。RAM の概要ページで [ガバナンス検出] を使用して、90 日間使用されていない AccessKey やアイドル状態の RAM ユーザーを見つけます。[アクセス分析 (ベータ版)] を使用して、過剰な権限を持つ ID を検出します。

    3. 高リスクポリシーは慎重に使用します。AliyunRAMFullAccess および同様のポリシーは、必要な場合 (例：RAM 管理者向け) にのみ付与し、それらのユーザーによるすべての操作を監視します。

    4. 一時的なアクセスには RAM ロールを優先します。短期的な権限付与 (CI/CD パイプライン、クロスアカウントアクセス、またはサードパーティ操作) の場合は、RAM ユーザーに長期的なポリシーをアタッチする代わりに、RAM ロールを作成し、STS を使用して一時的な認証情報を発行します。一時的な認証情報は自動的に有効期限が切れます。

    RAM ユーザーのメッセージ通知に関する制限

    RAM ユーザーは、クォータアラートや支払いリマインダーなどのアカウントレベルの課金通知を受け取ることができません。デフォルトでは、課金通知は Alibaba Cloud アカウントの連絡先にのみ送信され、受信者を変更することはできません。

    メッセージセンターの基本通知設定ページでは、アカウントの課金通知に関する通知チャネル (サイト内メッセージ、SMS、メール) と受信者がロックされており、すべての編集コントロール (編集、ルールの一括編集、保存) が無効になっています。

    回避策

    1. Alibaba Cloud アカウントで定期的にコンソールにログインし、メッセージセンターで課金通知を確認します。

    2. 課金以外の通知 (プロダクト通知やイベント通知など) については、Alibaba Cloud アカウントはメッセージセンターの基本通知設定ページで対応する通知タイプの編集をクリックし、メッセージ受信者タブで通知ルールを編集するか、連絡先リンクから連絡先を追加できます。

    3. RAM ユーザーがメッセージセンターを操作できるようにするには、Alibaba Cloud アカウントが RAM ユーザーに AliyunConsoleFullAccess 権限を付与する必要があります。

    よくある質問

    RAM ユーザーは自身の権限を表示できますか？

    いいえ。デフォルトでは、RAM ユーザーは自身の権限ポリシーリストを表示できません。回避策は次のとおりです：

    • トライアルアクセス：目的の操作を試みます。「権限が不十分です」というエラーは、権限が不足していることを示します。

    • 管理者に連絡する：Alibaba Cloud アカウントの所有者または AliyunRAMFullAccess 権限を持つ RAM ユーザーに、RAM コンソールから確認するよう依頼します。

    RAM ユーザーはクラウドプロダクトを購入できますか？

    はい、ユーザーに必要な購入権限が付与されていれば可能です。「RAM ユーザーがリソースを購入するために必要な権限」をご参照ください。

    RAM ユーザー向けの個別の支出制限や個別の請求はサポートされていません。すべての料金は Alibaba Cloud アカウントに一元化されます。

    RAM ユーザーに一時的で取り消し可能な権限を付与するにはどうすればよいですか？

    一時的なニーズのために長期的なポリシーをアタッチしないでください。代わりに、必要な権限を持つ RAM ロールを作成し、RAM ユーザーが STS を介して AssumeRole を呼び出して期間限定の認証情報を取得するようにします。詳細については、「RAM ロールの AssumeRole」をご参照ください。

    一時的な認証情報は自動的に有効期限が切れます。このアプローチは、CI/CD、クロスアカウントの委任、およびサードパーティの操作に適しています。

    RAM ユーザーの「権限拒否」エラーをトラブルシューティングするにはどうすればよいですか？

    RAM コンソールで [権限] > [権限診断] に移動します。診断用の暗号文 (AccessDeniedDetail.EncodedDiagnosticMessage、エラー応答から) またはリクエスト ID を貼り付け、[診断を開始] をクリックします。システムは、一致したポリシー、条件、または明示的な拒否など、拒否理由をデコードして問題の特定を支援します。

    アクセス拒否エラーのトラブルシューティングをご参照ください。

    RAM ユーザーに権限を付与する際に LimitExceeded.User.Policy エラーが発生した場合はどうすればよいですか？

    このエラーは、RAM ユーザーがアタッチ可能な権限ポリシーの最大数に達した場合に発生します。デフォルトでは、各 RAM ユーザーには最大 20 のシステムポリシーと 20 のカスタムポリシーをアタッチできます。現在のクォータ値については、「使用制限」をご参照ください。

    この問題を解決するには、次のアプローチの 1 つ以上を試してください：

    • ポリシーの統合：冗長または不要なポリシーを削除します。例えば、フルアクセスポリシー (例：AliyunECSFullAccess) には、対応する読み取り専用ポリシー (AliyunECSReadOnlyAccess) のすべての権限がすでに含まれているため、両方は必要ありません。また、複数のシステムポリシーを 1 つのカスタムポリシーにマージして、合計数を減らすこともできます。

    • ユーザーグループの使用：同じ職責を持つ RAM ユーザーをユーザーグループに追加し、個々のユーザーではなくグループに権限を付与します。ユーザーグループから継承された権限は、個々のユーザーのポリシーアタッチメントクォータにはカウントされません。

    • クォータの引き上げをリクエストする：クォータセンターに移動します。[一般クォータのあるプロダクト] ページで [Resource Access Management] を選択し、「RAM ユーザーにアタッチできるシステムポリシーの最大数」または「RAM ユーザーにアタッチできるカスタムポリシーの最大数」を検索して、クォータ引き上げリクエストを送信します。