Hologres:Hologres RAM ロール認証モード

背景情報

Alibaba Cloud では、エンタープライズユーザーが Alibaba Cloud アカウントとパスワードを使用して Alibaba Cloud 管理コンソールにログインし、クラウドリソースを管理・利用できます。しかし、企業のセキュリティおよびコンプライアンス要件が厳格化されるにつれ、多くの組織が Alibaba Cloud へのアクセスにロールベースのシングルサインオン (SSO) を採用するようになっています。詳細については、「SAML ベースのロール SSO の概要」をご参照ください。

利用シーン

Hologres のサポート対象アクセス方法

Hologres では、RAM ロールと Alibaba Cloud アカウント (root ユーザーおよび RAM ユーザーを含む) は同等に扱われます。RAM ロールは標準的なログインアカウントです。スーパーユーザは、SELECT、INSERT、UPDATE などの権限を、基盤となるアカウントではなく RAM ロールに直接付与する必要があります。RAM ロールを偽装するユーザーは、付与された権限で Hologres にアクセスできます。

ロールベース SSO (STS)

Hologres へのロールベース SSO アクセスには、Alibaba Cloud Security Token Service (STS) が使用されます。STS は、Alibaba Cloud アカウントまたは RAM ユーザー向けの一時的なアクセス管理を提供するクラウドサービスです。STS を使用すると、ローカルアカウントシステムで管理されているユーザーなどに対して、カスタムの有効期間と権限を持つアクセス認証情報を発行できます。ユーザーは STS から取得した一時的なセキュリティ認証情報を使用して、直接 Hologres に接続し、許可されたリソースにアクセスできます。

ステップ 1：RAM ロールの作成

RAM ユーザーによるロールの引き受け

RAM ユーザーが Alibaba Cloud 管理コンソールで ID スイッチングにより RAM ロールを偽装する必要がある場合は、Resource Access Management (RAM) コンソールにログインして RAM ロールを作成します。信頼できるエンティティとして Alibaba Cloud Account を選択します。

1. 信頼できるエンティティの種類が Alibaba Cloud account の RAM ロールを作成します。

   1. Resource Access Management (RAM) コンソールにログインします。左側のナビゲーションウィンドウで、アイデンティティ > Roles を選択します。

   2. ロールの作成 ページで、ロールの作成 をクリックします。Select Trusted Entity では、Alibaba Cloud Account を選択します。次に、Current Alibaba Cloud account を選択し、OK をクリックします。

   3. ロールの作成 パネルで、RAM Role Name を入力し、OK をクリックします。

2. 権限ポリシーを作成してアタッチします。

   1. Roles ページで、対象のロール名をクリックしてロール詳細ページに移動します。

   2. トラスト規則 タブをクリックします。次に、編集トラスト規則 をクリックし、ポリシーの内容を次のコードに置き換えます。

      • パラメーターの説明

        ポリシーを構成する際は、acs:ram::<account_id>:root の <account_id> をご利用の Alibaba Cloud アカウント ID に置き換えてください。アカウント ID は、ユーザー情報ページで確認できます。

      • ポリシーの内容

        {
            "Statement": [
                {
                    "Action": "sts:AssumeRole",
                    "Effect": "Allow",
                    "Principal": {
                        "RAM": [
                            "acs:ram::<account_id>:root"
                        ]
                    }
                },
                {
                    "Action": "sts:AssumeRole",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": [
                            "dataworks.aliyuncs.com"
                        ]
                    }
                }
            ],
            "Version": "1"
        }

   3. OK をクリックしてポリシーの構成を完了します。

3. RAM ユーザーを作成し、ロール偽装の権限を付与します。

   RAM ユーザーが RAM ロールを偽装できるようにするには、そのユーザーに必要な権限を付与する必要があります。

   1. Resource Access Management (RAM) コンソールにログインします。左側のナビゲーションウィンドウで、アイデンティティ > User を選択します。

   2. （オプション）既に RAM ユーザーが存在する場合は、この手順をスキップできます。ユーザーの作成 をクリックして、1 回の操作で 1 人以上の RAM ユーザーを作成します。詳細については、「RAM ユーザーの作成」をご参照ください。

   3. 対象の RAM ユーザーを見つけ、Actions 列の 権限の追加 をクリックします。

   4. 権限の追加 ページで、RAM ユーザーに AliyunSTSAssumeRoleAccess ポリシーをアタッチします。このポリシーにより、ユーザーは STS の AssumeRole API オペレーションを呼び出す権限を付与されます。

   5. OK をクリックします。

IdP ユーザーによるロールの引き受け

オンプレミスの IdP ユーザーとして Alibaba Cloud にログインし、RAM ロールを偽装する必要がある場合は、Resource Access Management (RAM) コンソールにログインして RAM ロールを作成します。信頼できるエンティティとして Identity Provider を選択します。

1. 信頼できるエンティティの種類が Identity Provider の RAM ロールを作成します。

   1. Resource Access Management (RAM) コンソールにログインします。左側のナビゲーションウィンドウで、アイデンティティ > Role を選択します。

   2. Role ページで、ロールの作成 をクリックします。Select Trusted Entity では、Identity Provider を選択します。

   3. OK をクリックし、Role Name および Remarks を構成します。

   4. IdP タイプ および IdP の選択 を選択します。条件を確認した後、Complete をクリックします。ロールが作成されたことを示すメッセージが表示されます。

2. 権限ポリシーを作成してアタッチします。

   1. Roles ページで、対象のロール名をクリックしてロール詳細ページに移動します。

   2. トラスト規則 タブをクリックします。次に、編集トラスト規則 をクリックし、ポリシーの内容を次のコードに置き換えます。

      • パラメーターの説明

        ポリシーを構成する際は、スクリプト acs:ram::Root-Account-ID:saml-provider/IDP のルートアカウント ID をご利用のアカウント ID に置き換える必要があります。ユーザー情報ページにアクセスしてアカウント ID を取得してください。

      • ポリシーの内容

        {
            "Statement": [
                {
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "saml:recipient": "https://signin.aliyun.com/saml-role/sso"
                        }
                    },
                    "Effect": "Allow",
                    "Principal": {
                        "Federated": [
                            "acs:ram::<account_id>:saml-provider/<idp_name>"
                        ]
                    }
                },
                {
                    "Action": "sts:AssumeRole",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": [
                            "dataworks.aliyuncs.com"
                        ]
                    }
                }
            ],
            "Version": "1"
        }

   3. OK をクリックしてポリシーの構成を完了します。

ステップ 2：RAM ロールの追加と権限付与

Hologres を使用するには、RAM ロールに Hologres インスタンスに対する開発権限が必要です。デフォルトでは、RAM ロールには Hologres コンソールでインスタンスを表示または管理する権限がありません。先に進む前に、ルートアカウントが RAM 権限を付与する必要があります。詳細については、「RAM ユーザーへの権限付与」をご参照ください。RAM ロールを Hologres インスタンスに追加し、権限を付与するには、次のいずれかの方法を使用できます。

1. Hologres 管理コンソールでロールに権限を付与します。

   1. 左側のナビゲーションウィンドウで、Instances をクリックします。権限を付与するインスタンスをクリックし、User Management タブで RAM ロールを見つけ、インスタンスのユーザーとして追加します。

   2. DB-level Authorization タブで、RAM ユーザーに必要な開発権限を付与します。

2. SQL を使用してロールに権限を付与します。

   SQL ステートメントを使用して権限を付与できます。詳細については、「権限管理の概要」をご参照ください。

3. RAM ユーザーが RAM ロールを偽装する場合、RAM ロールにはデフォルトで Hologres 管理コンソールの権限がありません。Resource Access Management (RAM) コンソールで、ルートアカウントが RAM ユーザーに AliyunRAMReadOnlyAccess 権限を付与する必要があります。これを行わないと、RAM ロールは Hologres コンソールでいかなる操作も実行できません。詳細については、「RAM ユーザーへの権限付与」をご参照ください。

ステップ 3：ログインと Hologres の使用