Elastic Compute Service:Alibaba Cloud アカウントの使用を回避し、RAM ユーザーにロールベースの権限を付与

Alibaba Cloud アカウントの保護

1. MFA (多要素認証) の有効化：Alibaba Cloud アカウントに 仮想 MFA デバイスをアタッチ します。これにより、パスワード認証に加えて動的な検証コード (モバイルトークンまたはハードウェアで保護されたキー) が追加され、パスワードが漏洩した場合の不正アクセスを防ぎます。

2. ログイン動作の管理：

   • リスクコントロールの設定：ログイン頻度を制限します。RAM 管理者の作成やサービスの有効化など、必要な場合にのみログインします。

   • ログインマスクの設定またはクリア：特定の IP アドレスからのみコンソールにアクセスできるようにします。

   • セッション期間の設定：自動サインアウト時間をデフォルトの 48 時間から 4 時間以下に短縮します。

3. Alibaba Cloud アカウントの AccessKey の無効化：代わりに、RAM ユーザーを作成 し、最小権限の原則に基づいて権限を付与します。

4. 定期的な監査と監視：ActionTrail を使用して、Alibaba Cloud アカウントのログインイベントを監視し、異常な挙動を確認します。

5. 日常操作のための RAM ユーザーの使用：アカウント管理者として RAM ユーザーを作成 します。さまざまなロールに対して個別の RAM ユーザーを作成し、必要に応じて権限を付与します。

RAM ユーザーとアクセス制御の計画

職務に基づいてアカウント、ロール、権限を作成します。次の例は、典型的な企業におけるロールの割り当てを示しています：

1. アカウント管理者

   RAM ユーザー、ロール、およびアクセス権限の作成にのみ使用します。このアカウントには AliyunRAMFullAccess を付与します。他の Alibaba Cloud サービスのリソースを直接管理することはできませんが、特権アカウントを作成できます。これは非常に機密性の高いアカウントであるため、次のように保護します：

   • アカウントの AccessKey を作成しないでください。

   • 同じ権限を持つ RAM ロールを作成しないでください。

   • MFA を有効にし、ログイン元の IP アドレスを制限してください。

2. リソース管理者

   ECS インスタンス、VPC、vSwitch、ネットワークインターフェースカード、ディスク、セキュリティグループ、スナップショット、イメージなどのリソースの作成と管理に使用します。AliyunECSFullAccess、AliyunVPCFullAccess、および AliyunEIPFullAccess ポリシーを付与します。RAM ロールを ECS インスタンスにアタッチするには、sts:AssumeRole 権限も付与します。

   提案：多くのクラウドリソースに対して、リソースグループ を使用してリソースを分離します。各リソースグループに個別の ECS リソース管理者アカウントを作成して、権限を水平分離します。

3. O&M エンジニア

   ECS インスタンスにログインして操作 (起動や停止など) を行うユーザーに割り当てます。リソース、ネットワークインターフェースカード、またはディスクを変更する権限は付与しません。RAM 権限をカスタマイズします：

   {
     "Version": "1",
     "Statement": [
       // 1. リソースステータス閲覧用の読み取り専用権限
       {
         "Effect": "Allow",
         "Action": [
           // ECS リソースの表示
           "ecs:DescribeInstances",        // インスタンスステータスの表示
           "ecs:DescribeInstanceStatus",   // インスタンスステータス情報のクエリ
           "ecs:DescribeNetworkInterfaces", // ネットワークインターフェースカードステータスの表示
           "ecs:DescribeDisks",            // ディスクステータスの表示
           "ecs:DescribeSecurityGroups",   // セキュリティグループステータスの表示
           "ecs:DescribeSecurityGroupReferences", // 承認済みセキュリティグループのクエリ
           // VPC と vSwitch の表示
           "vpc:DescribeVpcs",             // VPC ステータスのクエリ
           "vpc:DescribeVSwitches",        // vSwitch ステータスのクエリ
           "vpc:DescribeVSwitchAttributes" // vSwitch 詳細設定のクエリ
         ],
         "Resource": "*"  // すべてのリソースへのアクセスを許可
       },
       // 2. ワークベンチ権限 (ログインと読み取り)
       {
         "Effect": "Allow",
         "Action": [
           "ecs-workbench:LoginInstance",  // ワークベンチを使用したインスタンスへのログイン権限
           "ecs:DescribeTerminalSessions"  // ワークベンチセッションレコードの表示
         ],
         "Resource": "*"
       },
       // 3. クラウドアシスタント権限 (読み取り、ログイン、コマンド実行)
       {
         "Effect": "Allow",
         "Action": [
           // クラウドアシスタントの読み取り権限
           "ecs:DescribeCommands",         // コマンドリストの表示
           "ecs:DescribeInvocations",       // コマンド実行記録の表示
           "ecs:DescribeInvocationResults", // コマンド実行結果の表示
           "ecs:DescribeCloudAssistantStatus", // クラウドアシスタントのステータスのクエリ
           // クラウドアシスタントを使用したコマンド実行権限
           "ecs:InvokeCommand",             // コマンドの実行
           "ecs:RunCommand"                 // コマンドの即時実行
         ],
         "Resource": "*",
         // コマンド実行を一般ユーザーに制限 (セキュリティのベストプラクティス)
         "Condition": {
           "StringNotEqualsIgnoreCase": {
             "ecs:CommandRunAs": ["system", "root"]  // root または system アカウントの使用を禁止
           }
         }
       }
     ]
   }

   注：このポリシーでは、"Resource": "*" ですべてのインスタンスの管理が許可されます。リスクを軽減するには、

   次を考慮してください：

   • リソースグループまたはタグを使用して、操作の範囲を制限します。

   • ワイルドカード文字の代わりに、きめ細かいリソース ARN を使用して、必要に応じて権限を付与します。

4. アプリケーションロール

   アプリケーションも、OSS や Simple Log Service (SLS) などの Alibaba Cloud サービスにアクセスする必要がある場合があります。各アプリケーションに専用のアカウントまたはロールを作成します。ユーザーとアプリケーション間、または異なるアプリケーション間でアカウントを共有しないでください：

   • アプリケーションアカウントがコンソールにログインすることを禁止します。

   • アプリケーションが ECS (コンテナサービスを含む) にデプロイされている場合は、AccessKey を使用しないでください。代わりに、インスタンスに RAM ロールをアタッチします。

CloudSSO を使用した集中型ID管理

次のいずれかに該当する場合は、CloudSSO を使用します：

• 複数の従業員が、同じ権限を持つ RAM アカウントを必要としています。

• 複数の従業員が、1 つの RAM アカウントを共有しています。

• 従業員が、AccessKey やログインパスワードなどのクラウドプラットフォームの認証情報を漏洩させる可能性があります。

CloudSSO は、リソースディレクトリ (RD) に基づく、マルチアカウントの統合ID管理およびアクセス制御サービスです。 ユーザーは 1 セットの認証情報で一度ログインするだけで、パスワードを再入力することなく、複数のクラウドアプリケーションにアクセスできます。 CloudSSO を使用して、Alibaba Cloud 上の企業ユーザーを一元管理できます。 自社の ID 管理システムと Alibaba Cloud との間で SSO を設定すると、すべての RD アカウントにわたってアクセス権限を一元的に割り当てることができます。

• クラウド認証情報不要：従業員は Alibaba Cloud のログインパスワードや AccessKey が不要になり、認証情報の漏洩リスクが軽減されます。

• 統合ID認証：ユーザーは社内のエンタープライズアカウント (会社のメールボックスや Active Directory アカウントなど) でログインし、シームレスなエクスペリエンスを実現します。

• 集中型権限管理：アクセス設定を使用して、ユーザーまたはユーザーグループにロール権限をきめ細かく一元的に割り当てます。

• 標準プロトコルのサポート：SAML 2.0 プロトコルに基づいて、企業の ID プロバイダー (IdP) と統合します。

「CloudSSOの使用開始」をご参照ください。

Alibaba Cloud アカウントによって実行された操作の確認