Resource Access Management:AccessKey ペアの作成

AccessKey ペアとは

AccessKey ペアは、AccessKey ID と AccessKey シークレットで構成され、Alibaba Cloud へのプログラムによるリクエストを認証するために使用されます。

• AccessKey ID：AccessKey ペアの公開された一意の識別子です。

• AccessKey シークレット：API リクエストの署名に使用されるプライベートキーです。署名によってリクエストの真正性と完全性を検証します。 AccessKey シークレットは厳重に機密として保持する必要があります。

AccessKey の種類

AccessKey ペアは、所有者に基づいて 2 つのタイプに分類されます。

• Alibaba Cloud アカウントの AccessKey ペア (非推奨)

  この AccessKey ペアは Alibaba Cloud アカウントに属します。 デフォルトでは、アカウント配下のすべてのリソースに対する完全な権限を持っています。漏洩した場合、セキュリティリスクは極めて高くなります。Alibaba Cloud アカウントの AccessKey ペアを作成したり使用したりしないことを強く推奨します。

• RAM ユーザーの AccessKey ペア (推奨)

  この AccessKey ペアは、事前に作成する必要がある RAM ユーザーに属します。AccessKey ペアは RAM ユーザーの権限を継承し、最小権限でのアクセス管理を可能にします。 ベストプラクティスとして、独立したアプリケーションごとに個別の RAM ユーザーと AccessKey ペアを割り当てます。これにより、過剰な権限を防ぎ、認証情報が漏洩した場合のブラスト半径を縮小します。

権限要件

Alibaba Cloud アカウントは無制限の権限を持っているため、本番環境で AccessKey ペアを作成するために使用することは避けてください。代わりに、適切な権限を持つ RAM ユーザーを使用して、(Alibaba Cloud アカウントに属するものを除き) AccessKey ペアを作成および管理してください。

• 管理者に AliyunRAMFullAccess (RAM 管理者) システムポリシーを付与することで、RAM ユーザーの AccessKey ペアの作成および管理を許可できます。

• また、RAM のグローバルセキュリティ設定で {key, select, AllowUserToChangePassword {ユーザーによるパスワードの管理を許可} AllowUserToManageMFADevices {ユーザーによる MFA デバイスの管理を許可} AllowUserToManageAccessKeys {ユーザーによる AccessKey の管理を許可} AllowUserToManageServiceCredentials {ユーザーによる API Key の管理を許可} AllowUserToManagePersonalDingTalk {ユーザーによる DingTalk バインドの管理を許可} AllowUserLongTermLogin {長期ログインの維持を許可} HelpAllowUserLongTermLogin {長期ログインをサポートするアプリ：アリババクラウド App、アリババクラウド ECS クライアント。} LoginSessionDuration {ログインセッションの有効期限} HelpLoginSessionDuration {ログインセッションの継続時間を指定します。有効値は {min} ～ {max} 時間です。} ValueOfLoginSessionDuration {{value} 時間} AllowUserToLoginWithPasskey {ユーザーによるパスキーログインを許可} MaxIdleDaysForUsers {ユーザーの最大アイドル日数} HelpMaxIdleDaysForUsersTitle {設定の変更は翌日に有効になります。以下の条件をすべて満たすユーザーは、コンソールへのログインが無効になります。} HelpMaxIdleDaysForUsersFirstCondition {1. 最後のログインから設定期間以上が経過している、またはユーザーの作成から設定期間以上が経過しており一度もログインしていない。} HelpMaxIdleDaysForUsersSecondCondition {2. ユーザーのログイン設定が 7 日以内に更新されていない。} MaxIdleDaysForAccessKeys {AccessKey の最大ア HelpMaxIdleDaysForAccessKeysTitle {設定の変更は翌日に有効になります。以下の条件をすべて満たす AccessKey は無効になります。} HelpMaxIdleDaysForAccessKeysFirstCondition {1. AccessKey の最終使用日時から最大アイドル期間以上が経過している。} HelpMaxIdleDaysForAccessKeysSecondCondition 7 日以内に更新されていない。} ValueOfIdleDays {{value} 日} other {{key}} } オプションを有効にすることで、ユーザーが自身の AccessKey ペアを管理できるようになります。詳細については、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。

  説明

  この設定を有効にすると、管理者がこれらの操作を明示的に拒否するポリシーをアタッチしない限り、 すべての RAM ユーザー が自身の AccessKey ペアの作成、無効化、削除を含む管理を行えるようになります。

  本番環境でこの設定を有効にすることは推奨しません。特定のユーザーに自身の AccessKey ペアの管理を許可するには、カスタムポリシーを使用し、Resource 要素をユーザー自身の ID に設定することを推奨します。以下のポリシー例をご参照ください。

  AccessKey の作成

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  AccessKey の管理

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

RAM ユーザーの AccessKey の作成

RAM 管理者 (AliyunRAMFullAccess ポリシーを持つユーザー) として、以下の手順を実行します。アカウントに RAM ユーザーがいない場合は、「RAM ユーザーの作成」をご参照ください。

Alibaba Cloud アカウントの AccessKey の作成 (非推奨)

1. Alibaba Cloud アカウントで Alibaba Cloud コンソールにログインします。

2. 右上のプロフィール画像にカーソルを合わせ、 [AccessKey] をクリックします。

   

3. [Alibaba Cloud アカウントの AccessKey の使用は推奨されません] ダイアログボックスで、Alibaba Cloud アカウントの AccessKey ペアを作成するリスクを読みます。続行する必要がある場合は、クラウドアカウント AccessKey のセキュリティリスクを確認済み チェックボックスをオンにし、 [Alibaba Cloud アカウントの AccessKey を引き続き使用する] をクリックします。

4. [AccessKey] ページで、AccessKey の作成 をクリックします。

   説明

   Alibaba Cloud アカウントは最大 2 つの AccessKey ペアを持つことができます。 1 つはアクティブな利用のため、もう 1 つはローテーション用です。

5. メインアカウント AccessKey の作成 ダイアログボックスで、リスクと制限を再度確認します。AccessKey ペアを作成する場合は、クラウドアカウント AccessKey のセキュリティリスクを確認済み チェックボックスをオンにし、 [Alibaba Cloud アカウントの AccessKey を引き続き使用する] をクリックします。

6. AccessKey の作成 ダイアログボックスで、AccessKey ID と AccessKey シークレットを保存し、次に AccessKey Secretを保存しました チェックボックスをオンにして、OK をクリックします。

   (推奨) AccessKey ネットワーク ACL ポリシーの設定： この AccessKey ペアを使用する API リクエストのソース IP アドレスを制限できます。これにより、AccessKey ペアが信頼できるネットワーク環境からのみ使用されるようになり、セキュリティが向上します。 [ネットワークアクセスポリシーの設定] をクリックして、この AccessKey ペアの信頼できるネットワーク環境を定義することを推奨します。詳細については、「Alibaba Cloud アカウントの AccessKey ネットワーク ACL ポリシーの設定」をご参照ください。

   重要

   漏洩のリスクを軽減するため、Alibaba Cloud アカウントの AccessKey シークレットは作成時に一度しか表示されず、再取得はできません。