ApsaraVideo Live:権限管理

概要

API または SDK を使用して ApsaraVideo Live にアクセスできます。各リクエストに対して、ApsaraVideo Live は AccessKey を使用してアイデンティティを検証し、アカウントに必要な権限があるかどうかを確認します。

また、Resource Access Management (RAM) を使用して、RAM ユーザーに ApsaraVideo Live コンソールの特定の権限を付与できます。

基本概念

• Resource Access Management (RAM)

  Resource Access Management (RAM) は、ユーザーのアイデンティティ管理とリソースへのアクセス制御を行う Alibaba Cloud のサービスです。詳細については、「What is Resource Access Management?」をご参照ください。

  説明

  RAM は権限の分離と管理を提供しますが、リソースの分離は提供しません。RAM ユーザーは Alibaba Cloud アカウントに属し、リソースを所有できません。すべてのリソースは Alibaba Cloud アカウントに属します。

• Alibaba Cloud アカウント

  Alibaba Cloud アカウントは、リソースを所有し、その料金の請求先となる主体です。所有するすべてのリソースを完全に制御できます。

• RAM ユーザー

  RAM ユーザーは、Alibaba Cloud アカウント配下に作成するアイデンティティです。各 RAM ユーザーは一意のアクセスキーペアを持ち、許可された操作を実行できます。

• ポリシー

  ポリシーとは、許可するリソース、アクション、条件を定義した権限のセットです。ユーザーまたはユーザーグループにポリシーをアタッチすることで、リソースやサービスへのアクセスを制御できます。たとえば、ユーザーの権限をアップロード、再生、審査のみに制限できます。

• アクセスキーペア

  アクセスキーペアは、AccessKey ID と AccessKey Secret で構成されます。ApsaraVideo Live は、これらの認証情報を使用して対称暗号化を行い、リクエスト元のアイデンティティを検証します。

  • AccessKey ID：ユーザーを識別します。

  • AccessKey Secret：署名文字列の暗号化と検証に使用するキーです。AccessKey Secret は機密情報として管理してください。

    説明

    AccessKey Secret は作成時にのみ表示され、後から取得できません。安全に保管してください。

  • アクセスキーペア：AccessKey ID と AccessKey Secret の組み合わせです。

アクセス制御の主な概念の詳細については、「Basic concepts of access control」をご参照ください。

認証方法と比較

ApsaraVideo Live にアクセスする際は、次の 2 種類のアクセスキーペアのいずれかを使用できます。

• Alibaba Cloud アカウントのアクセスキーペア

  ApsaraVideo Live を有効化したアカウントのアクセスキーペアです。このアカウントが所有するすべてのリソースに対して完全な権限を持ちます。各 Alibaba Cloud アカウントは、同時に最大 5 つのアクセスキーペア (アクティブまたは非アクティブ) を保持できます。RAM コンソールにログインして、アクセスキーペアを作成または削除できます。認証に使用できるのはアクティブなアクセスキーペアのみです。

  警告

  Alibaba Cloud アカウントのアクセスキーペアが漏えいすると、すべてのリソースへのアクセスが可能となるため、重大なセキュリティリスクとなります。

• RAM ユーザーのアクセスキーペア

  RAM ユーザーに属するアクセスキーペアであり、アタッチされたポリシーに基づいて ApsaraVideo Live リソースにアクセスできます。RAM を使用すると、従業員、システム、アプリケーションなどのユーザーを一元管理し、リソースへのアクセスを制御できます。たとえば、ユーザーに動画再生のみの権限を付与できます。RAM ユーザーは Alibaba Cloud アカウントに属し、リソースを所有しません。

  RAM コンソールにログインして、RAM ユーザーを作成し、アクセスキーペアを取得して、権限を付与できます。詳細な手順については、「Create and authorize a RAM user」をご参照ください。

認証方法の比較

ポリシー

ポリシーを使用すると、RAM ユーザーにきめ細かな権限を付与できます。Alibaba Cloud では、システムポリシーとカスタムポリシーの 2 種類のポリシーが用意されています。

• システムポリシー

  次の 3 つのシステムポリシーは、ApsaraVideo Live で一般的に使用されます。

  ポリシー名	説明	権限
  AliyunLiveFullAccess	ApsaraVideo Live を管理するための権限を付与します。	ApsaraVideo Live のすべてのコンソール操作と API 呼び出しを許可します。
  AliyunLiveReadOnlyAccess	ApsaraVideo Live の読み取り専用権限を付与します。	"Describe" で始まる操作など、すべての読み取り専用操作と API 呼び出しを許可します。
  AliyunMTSFullAccess	ApsaraVideo Media Processing (MPS) を管理するための権限を付与します。	ApsaraVideo Media Processing (MPS) のすべてのコンソール操作と API 呼び出しを許可します。

• カスタムポリシー

  システムポリシーで要件を満たせない場合は、よりきめ細かな制御のためにカスタムポリシーを作成できます。詳細については、「Create a custom policy」をご参照ください。

一般的な権限付与

次に、ApsaraVideo Live での一般的な権限付与の例を示します。

1. RAM ユーザーが ApsaraVideo Live を使用する必要がある場合は、AliyunLiveFullAccess システムポリシーまたはカスタムポリシーを RAM ユーザーにアタッチする必要があります。

2. ApsaraVideo Live の録画とスナップショットを Object Storage Service (OSS) のバケットに保存するには、ApsaraVideo Live が OSS にアクセスできるように承認する必要があります。これを行うには、AliyunMTSDefaultRole サービスリンクロールを付与します。承認を付与するには こちら をクリックしてください。

   説明

   ApsaraVideo Live を有効化すると、OSS バケットへの書き込み権限が自動的に付与されます。これにより、ライブ 録画を指定したバケットに保存する際の権限に関する問題を回避できます。この権限が誤って取り消された場合は、再度付与できます。

3. ApsaraVideo Live API またはコンソールを使用して OSS に保存された [スナップショット] を削除するには、AliyunMTSVideoLifecycleRole サービスリンクロールを作成し、AliyunMTSVideoLifecycleRolePolicy システムポリシーをそのロールに [アタッチ] する必要があります。詳細な手順については、「Delete snapshots in the ApsaraVideo Live console」をご参照ください。

4. ApsaraVideo Live API またはコンソールを使用して OSS に保存された [録画] を削除するには、AliyunMTSVideoLifecycleRole サービスリンクロールを作成し、AliyunMTSVideoLifecycleRolePolicy システムポリシーをそのロールに [アタッチ] する必要があります。詳細な手順については、「Delete recordings in the ApsaraVideo Live console」をご参照ください。