RAM ロールの作成と権限付与 - ApsaraVideo Media Processing - Alibaba Cloud ドキュメントセンター

Alibaba Cloud アカウントを信頼する RAM ロールを使用すると、アカウント間アクセスと一時的な権限付与が可能になり、信頼されるアカウントの RAM ユーザーがロールを引き受けることができます。このトピックでは、Media Processing Service (MPS) を使用してコンテンツを復号するなどのタスクに対して、RAM ロールに権限を付与する方法について説明します。

前提条件

RAM ユーザーを作成し、Media Processing Service (MPS) にアクセスするための権限を付与しておく必要があります。詳細については、「RAM ユーザーの作成と権限付与」をご参照ください。

RAM ロールの作成

RAM 管理者としてRAM コンソールにログインします。
左側メニューで、アイデンティティ > ロール を選択します。
ロール ページで、ロール作成 をクリックします。
ロール作成 ページで、信頼プリンシパルタイプ を アカウント に設定し、Alibaba Cloud アカウントの詳細を指定してから、OK をクリックします。
- 現在のアカウント：このオプションを選択すると、現在の Alibaba Cloud アカウント配下のすべての RAM ユーザーと RAM ロールが、このロールを引き受けられるようになります。現在のアカウント を選択します。
- 他のアカウント：このオプションを選択すると、別の Alibaba Cloud アカウントのすべての RAM ユーザーと RAM ロールが、このロールを引き受けられるようになります。他のアカウント を選択し、他の Alibaba Cloud アカウント (メインアカウント) の ID を入力します。これは主にクロスアカウントアクセスに使用されます。詳細については、「Alibaba Cloud アカウント間でのリソースアクセス」をご参照ください。Alibaba Cloud アカウント (メインアカウント) の ID は、[セキュリティ設定] ページで確認できます。
(オプション) 特定の RAM ユーザーまたは RAM ロールにロールを制限するには、エディターを切り替え をクリックして信頼ポリシーを変更します。

エディターは、ビジュアルエディターと JSON エディターの 2 つのモードをサポートしています。次の例では、RAM ロールは現在の Alibaba Cloud アカウント (AccountID=100******0719) 配下の RAM ユーザー Alice のみが引き受けることができます。
- ビジュアルエディター
  
  Principal セクションで、RAM ユーザーを追加します。
  
  [Cloud Account] の横にある [編集] リンクをクリックし、信頼されたアカウントの ID を入力します。
  
  [プリンシパルの追加] ダイアログボックスで、[Cloud Account] として [このアカウント] を、[アイデンティティタイプ] として [RAM ユーザー] を選択します。[ユーザー名] フィールドに対象のユーザー名 (例：Alice) を入力し、[OK] をクリックします。
- JSONエディター
  
  Principal オブジェクトの RAM フィールドに、RAM ユーザーの完全な ARN を入力します。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "RAM": "acs:ram::100******0719:user/Alice"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```
ロール作成 ダイアログボックスで、ロール名 を入力し、OK をクリックします。

ロールへの権限付与

RAM ロールに権限を付与します。

ロール ページで RAM ロールを見つけ、アクション 列の 権限の付与 をクリックします。

リソースの範囲 では Account を選択します。

リソース範囲	説明
[Account]	権限は、現在の Alibaba Cloud アカウント内のリソースに対して有効になります。
[resource]	権限は、指定したリソースグループ内のリソースに対して有効になります。

権限付与の対象 は自動的に現在のロールに設定されます。変更する必要はありません。
ポリシー では システムポリシー を選択します。ポリシー名 列で、追加するポリシーの名前をクリックします。必要なポリシーを追加したら、権限を付与 をクリックし、続けて 閉じる をクリックします。
説明
ポリシーの追加や削除など、ロールの権限を調整するには、この手順を繰り返してください。

RAM ユーザーに、ロールを引き受ける権限を付与します。
1. RAM コンソールの左側のナビゲーションペインで、権限管理 > ポリシー を選択します。[ポリシー] ページで、ポリシーの作成 をクリックします。
2. JSON タブをクリックします。
3. ポリシーエディターで、[リソース] フィールドに、作成した RAM ロールの [ARN] を設定します。[アクション] フィールドは必要に応じて設定します。
4. ページ上部の 最適化 をクリックし、次に行うをクリックして、ポリシー内容に高度な最適化を適用します。
  高度なポリシー最適化機能では、次の処理が行われます：
  - 互換性のないアクションに対して、リソースまたは条件を分割します。
  - リソース範囲を絞り込みます。
  - 重複したステートメントを削除するか、ステートメントを結合します。
5. ポリシーの作成 ページで、OK をクリックします。
6. ポリシーの作成 ダイアログボックスで、[ポリシー名] と説明を入力し、OK をクリックします。
7. 左側のナビゲーションペインで、アイデンティティ > ユーザー を選択します。
8. 権限を付与する RAM ユーザーを見つけ、アクション 列の 権限の追加 をクリックします。
9. ポリシーの選択 では カスタムポリシー を選択し、作成したポリシーをクリックします。権限を付与 をクリックします。