Resource Access Management:AccessKey ペアの作成

AccessKey ペアとは

AccessKey ペアは AccessKey ID と AccessKey Secret で構成され、Alibaba Cloud へのプログラムによるリクエストを認証するために使用されます。

• AccessKey ID：AccessKey ペアの公開された一意の識別子です。

• AccessKey Secret：API リクエストに署名するために使用される秘密鍵です。この署名により、リクエストの信頼性と整合性が検証されます。AccessKey Secret は厳重に機密情報として保管する必要があります。

AccessKey の種類

AccessKey ペアは、所有者に基づいて次の 2 種類に分類されます：

• Alibaba Cloud アカウントの AccessKey ペア (非推奨)

  この AccessKey ペアは Alibaba Cloud アカウントに属します。デフォルトでは、アカウント配下のすべてのリソースに対する完全な権限を持ちます。漏洩した場合、セキュリティリスクは極めて高くなります。Alibaba Cloud アカウントの AccessKey ペアを作成または使用しないことを強く推奨します。

• RAM ユーザーの AccessKey ペア (推奨)

  この AccessKey ペアは、事前に作成する必要がある RAM ユーザーに属します。AccessKey ペアは RAM ユーザーの権限を継承するため、最小権限でのアクセス管理が可能になります。ベストプラクティスとして、独立した各アプリケーションに個別の RAM ユーザーと AccessKey ペアを割り当てることを推奨します。これにより、過剰な権限を防ぎ、認証情報が漏洩した場合の影響範囲を縮小できます。

権限要件

Alibaba Cloud アカウントは無制限の権限を持っているため、本番環境で AccessKey ペアを作成するために使用することは避けてください。代わりに、適切な権限を持つ RAM ユーザーを使用して、AccessKey ペア (Alibaba Cloud アカウントに属するものを除く) を作成および管理してください。

• 管理者に対して AliyunRAMFullAccess (RAM 管理者) システムポリシーを付与することで、RAM ユーザーの AccessKey ペアの作成と管理を許可できます。

• また、RAM のグローバルセキュリティ設定で ユーザーによる AccessKey の管理を許可 オプションを有効にすると、ユーザーは自身の AccessKey ペアを管理できるようになります。詳細については、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。

  説明

  この設定を有効にすると、管理者がこれらの操作を明示的に拒否するポリシーをアタッチしない限り、すべての RAM ユーザーが自身の AccessKey ペア (作成、無効化、削除を含む) を管理できるようになります。

  本番環境でこの設定を有効にすることは推奨しません。特定のユーザーに自身の AccessKey ペアの管理を許可するには、カスタムポリシーを使用し、Resource 要素をユーザー自身の ID に設定することを推奨します。以下のポリシー例をご参照ください：

  AccessKey の作成

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  AccessKey の管理

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

RAM ユーザーの AccessKey の作成

RAM 管理者 (AliyunRAMFullAccess ポリシーを持つユーザー) として、以下の手順を実行します。アカウントに RAM ユーザーがいない場合は、「RAM ユーザーの作成」をご参照ください。

Alibaba Cloud アカウントの AccessKey の作成 (非推奨)

1. Alibaba Cloud アカウントで Alibaba Cloud コンソールにログインします。

2. 右上のプロフィール画像にカーソルを合わせ、AccessKey をクリックします。

3. [Alibaba Cloud アカウントの AccessKey の使用は推奨されていません] ダイアログボックスで、Alibaba Cloud アカウントの AccessKey ペアを作成する際のリスクを読み、それでも続行する場合は、クラウドアカウント AccessKey のセキュリティリスクを確認済み チェックボックスを選択して、[Alibaba Cloud アカウントの AccessKey を引き続き使用する] をクリックします。

4. [AccessKey] ページで、AccessKey の作成 をクリックします。

   説明

   Alibaba Cloud アカウントは最大 2 つの AccessKey ペアを持つことができます。1 つはアクティブな使用のため、もう 1 つはローテーションのためです。

5. メインアカウント AccessKey の作成 ダイアログボックスで、リスクと制限を再度確認します。AccessKey ペアを作成する場合は、クラウドアカウント AccessKey のセキュリティリスクを確認済み チェックボックスを選択し、次に [Alibaba Cloud アカウントの AccessKey の使用を続行] をクリックします。

6. AccessKey の作成 ダイアログボックスで、AccessKey ID と AccessKey Secret を保存します。 次に、AccessKey Secretを保存しました チェックボックスを選択し、OK をクリックします。

   (推奨) AccessKey ネットワーク ACL ポリシーの設定：この AccessKey ペアを使用する API リクエストのソース IP アドレスを制限できます。これにより、AccessKey ペアが信頼できるネットワーク環境からのみ使用されるようになり、セキュリティが向上します。 [ネットワークアクセス ポリシーの設定] をクリックして、この AccessKey ペアの信頼できるネットワーク環境を定義することをお勧めします。詳細については、「Alibaba Cloud アカウントの AccessKey ネットワーク ACL ポリシーを設定する」をご参照ください。

   重要

   漏洩のリスクを軽減するため、Alibaba Cloud アカウントの AccessKey Secret は作成時に一度しか表示されず、再度取得することはできません。