Elastic Compute Service:RAM ロールを使用した ECS へのアクセスコントロール

コンソールでロールを引き受ける

1. アカウント B 用に作成した RAM ユーザーを使用して、RAM ユーザーログインページ にログインします。

2. 右上隅のプロファイル画像にカーソルを合わせ、[ID の切り替え] をクリックします。

3. [ロールの切り替え] ページで、必要な情報を入力し、[送信] をクリックします。この例では、アカウント A の UID と RAM ロールの名前を入力します。

4. アクセス権限を確認します。

   ECS コンソール にログインし、Alibaba Cloud ECS インスタンスに関する情報を表示します。

   検証 1: RAM ユーザーはアカウント A の RAM ロールを偽装して ECS インスタンス情報を表示でき、リモート接続ツールの Workbench を使用してインスタンスにログインすることもできます。

   検証 2: アカウント A が権限付与を取り消すと、RAM ユーザーはアカウント A の ECS インスタンス情報を表示できなくなります。

プログラム呼び出し時のロールの偽装

プログラムコードを使用してアカウント A のリソースにアクセスすることもできます。一般的なプロセスは次のとおりです。

1. アカウント B の RAM ユーザーを作成したときに取得した AccessKey にシステム環境変数を設定します。環境変数の設定方法はオペレーティングシステムによって異なります。詳細については、「Linux、macOS、Windows で環境変数を設定する」をご参照ください。

2. アカウント B の RAM ユーザーを使用して AssumeRole API を呼び出します。アカウント A の RAM ロールの ARN を渡して、一時的なセキュリティトークンサービス (STS) トークンを取得します。

3. 取得した STS トークンを使用して、関連する Alibaba Cloud サービスの API を呼び出し、アカウント A のクラウドリソースを表示します。

Java サンプルコード

<dependency>
  <groupId>com.aliyun</groupId>
  <artifactId>ecs20140526</artifactId>
  <version>5.4.4</version>
</dependency>
<dependency>
  <groupId>com.aliyun</groupId>
  <artifactId>sts20150401</artifactId>
  <version>1.1.4</version>
</dependency>
<dependency>
   <groupId>com.aliyun</groupId>
   <artifactId>credentials-java</artifactId>
   <version>0.3.10</version>
</dependency>

import com.aliyun.ecs20140526.models.DescribeInstancesRequest;
import com.aliyun.ecs20140526.models.DescribeInstancesResponse;
import com.aliyun.sts20150401.Client;
import com.aliyun.sts20150401.models.AssumeRoleRequest;
import com.aliyun.sts20150401.models.AssumeRoleResponse;
import com.aliyun.sts20150401.models.AssumeRoleResponseBody;
import com.aliyun.teaopenapi.models.Config;
import com.aliyun.teautil.models.RuntimeOptions;
import com.google.gson.Gson;

/**
 * RAM ロールを偽装して一時的なアクセス認証情報を取得し、その認証情報を使用して ECS リソースにアクセスします。
 */
public class Sample {
    public static void main(String[] args) {
        // これはデモンストレーションのみを目的としています。実際のビジネスニーズに基づいて、リージョン固有のエンドポイントを選択してください。
        String stsEndpoint = "sts.cn-shanghai.aliyuncs.com";
        String ecsEndpoint = "ecs.cn-shanghai.aliyuncs.com";
        // cn-shanghai の ECS インスタンスの情報をクエリします。
        String regionId = "cn-shanghai";
        // 偽装する RAM ロールの ARN。
        String ramRoleArn = "acs:ram::14************16:role/cooperativepartnerrole";

        // アカウント B の RAM ユーザーを使用してアカウント A の RAM ロールを偽装し、一時的なアクセス認証情報を取得します。
        AssumeRoleResponse assumeRoleResponse = playRamRole(stsEndpoint, ramRoleArn);
        // Alibaba Cloud サービスが提供する API を呼び出して、アカウント A のクラウドリソースを表示します。
        accessResources(assumeRoleResponse, ecsEndpoint, regionId);
    }

    /**
     * 一時的なアクセス認証情報を使用してクラウドリソースにアクセスします。
     *
     * @param assumeRoleResponse 一時的なアクセス認証情報を含む応答オブジェクト。
     */
    private static void accessResources(AssumeRoleResponse assumeRoleResponse, String ecsEndpoint, String regionId) {
        try {
            // 一時的なアクセス認証情報を抽出します。
            AssumeRoleResponseBody.AssumeRoleResponseBodyCredentials assumeRoleResponseBodyCredentials = assumeRoleResponse.body.credentials;
            com.aliyun.credentials.models.Config credentialsConfig = new com.aliyun.credentials.models.Config()
                    .setType("sts") // 認証情報のタイプ。
                    .setAccessKeyId(assumeRoleResponseBodyCredentials.accessKeyId)
                    .setAccessKeySecret(assumeRoleResponseBodyCredentials.accessKeySecret)
                    .setSecurityToken(assumeRoleResponseBodyCredentials.securityToken);
            com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client(credentialsConfig);

            // ECS クライアントを作成します。
            Config ecsConfig = new Config()
                    .setEndpoint(ecsEndpoint)
                    .setCredential(credentialClient);
            com.aliyun.ecs20140526.Client ecsClient = new com.aliyun.ecs20140526.Client(ecsConfig);
            DescribeInstancesRequest describeInstancesRequest = new DescribeInstancesRequest()
                    .setRegionId(regionId);
            RuntimeOptions runtimeOptions = new RuntimeOptions();

            // DescribeInstances API を呼び出して応答を取得します。
            DescribeInstancesResponse response = ecsClient.describeInstancesWithOptions(describeInstancesRequest, runtimeOptions);
            // 応答を出力します。
            System.out.println(new Gson().toJson(response.body));
        } catch (Exception e) {
            throw new RuntimeException("AccessResources failed: " + e.getMessage());
        }
    }

    /**
     * RAM ロールを偽装して一時的なアクセス認証情報を取得します。
     *
     * @return 一時的なアクセス認証情報を含む応答オブジェクト。
     */
    private static AssumeRoleResponse playRamRole(String stsEndpoint, String ramRoleArn) {
        try {
            // StsClient オブジェクトを作成し、assumeRole 操作を呼び出して STS トークンを取得します。
            Config config = new Config()
                    // System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID") は環境変数から AccessKey ID の値を取得します。
                    .setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"))
                    // System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET") は環境変数から AccessKey Secret の値を取得します。
                    .setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
            config.endpoint = stsEndpoint;
            Client client = new Client(config);
            // AssumeRoleRequest オブジェクトを作成し、偽装する RAM ロールの ARN とロールセッション名を指定します。
            AssumeRoleRequest assumeRoleRequest = new AssumeRoleRequest()
                    .setRoleArn(ramRoleArn)
                    .setRoleSessionName("CooperativePartner");
            RuntimeOptions runtime = new RuntimeOptions();
            return client.assumeRoleWithOptions(assumeRoleRequest, runtime);
        } catch (Exception e) {
            throw new RuntimeException("play RAM role failed: " + e.getMessage());
        }
    }
}

結果: プログラムは、中国 (上海) リージョンにあるアカウント A に属する ECS リソースのリストを返します。

{
    "instances":{
        "instance":[
            {
                "creationTime":"2024-10-23T09:12Z",
                "expiredTime":"2099-12-31T15:59Z",
                "hostName":"iZ********************pZ",
                "imageId":"m-uf****************jf",
                "instanceChargeType":"PostPaid",
                "instanceId":"i-uf****************ap",
                "instanceName":"launch-advisor-20241023-c6",
                "instanceNetworkType":"vpc",
                "instanceType":"ecs.c6.xlarge",
                ...
                // 一部のパラメーターは省略されています。
                ...
                "vpcAttributes":{
                    "natIpAddress":"",
                    "privateIpAddress":{
                        "ipAddress":[
                            "17*.**.**.*15"
                        ]
                    },
                    "vSwitchId":"vsw-uf*****************tk",
                    "vpcId":"vpc-uf*****************kr"
                },
                "zoneId":"cn-shanghai-b"
            }
        ]
    },
    "nextToken":"",
    "pageNumber":1,
    "pageSize":10,
    "requestId":"C1468F7E********************7A3A712",
    "totalCount":1
}