ApsaraVideo Media Processing (MPS) は、AccessKey ペアを使用してリクエスト送信者の ID を検証し、不正なアクセスを防止します。本ドキュメントでは、各種 AccessKey ペアの基本概念と相違点について説明します。
AccessKey ペアについて
MPS は、各リクエストを AccessKey ペアで認証し、送信者の ID と必要な権限を検証します。
AccessKey の概念
AccessKey ペアは、Alibaba Cloud API の呼び出しに使用される認証情報であり、呼び出し元の ID と権限を検証します。AccessKey ペアは、AccessKey ID と AccessKey シークレットで構成され、これらは必ずセットで使用する必要があります。
-
AccessKey ID： ユーザーを識別します。
-
AccessKey シークレット： ユーザーの ID を認証します。AccessKey シークレットは機密情報として厳重に管理する必要があります。
説明AccessKey シークレットは作成時にのみ表示され、後から取得することはできません。安全に保管してください。AccessKey ペアを作成したら、CSV ファイルをダウンロードするか、情報を安全な場所にコピーしてください。
AccessKey ペアのタイプ
Alibaba Cloud アカウントの AccessKey ペア
これは、MPS をアクティブ化した Alibaba Cloud アカウントの AccessKey ペアです。アカウント配下のすべてのリソースに対する完全な権限を持ちます。有効なペアと無効なペアを含め、最大 5 つの AccessKey ペアを保有できます。AccessKey コンソールにログインして、AccessKey ペアを追加または削除できます。各 AccessKey ペアは有効化または無効化できます。有効化された AccessKey ペアのみが ID 検証に使用できます。
Alibaba Cloud アカウントの AccessKey ペアは完全な権限を持つため、漏洩した場合のセキュリティリスクが非常に高くなります。MPS への API 呼び出しには、RAM ユーザーの AccessKey ペアを使用することを推奨します。
RAM ユーザーの AccessKey ペア
Resource Access Management (RAM) は、アクセス制御のための Alibaba Cloud サービスです。RAM を使用すると、従業員、システム、アプリケーションなどのユーザーを一元管理し、リソースへのアクセスを制御できます。
RAM ユーザーの AccessKey ペアは RAM を通じて権限を付与され、付与された権限内でのみ MPS にアクセスできます。各 RAM ユーザーは最大 2 つの AccessKey ペアを持つことができ、これらは有効化または無効化できます。RAM ユーザーは Alibaba Cloud アカウントに属し、いかなるリソースも所有しません。すべてのリソースは Alibaba Cloud アカウントに属します。RAM コンソールにログオンして、RAM ユーザーを作成し、権限を付与できます。詳細については、「RAM ユーザーを作成し、権限を付与する」をご参照ください。
STS の一時的な AccessKey ペア
Security Token Service (STS) は、一時的なアクセス認証情報を提供する Alibaba Cloud サービスです。STS の一時的な AccessKey ペアは、STS によって発行され、有効期間が限定されています。STS によって付与された権限の範囲内でのみ MPS リソースにアクセスでき、指定された期間が経過すると自動的に失効します。RAM コンソールにログインして、RAM ロールを作成し、STS 認可を付与できます。
認証方法の比較
|
認証方法 |
リスク |
権限 |
有効期間 |
シナリオ |
|
Alibaba Cloud アカウントの AccessKey ペア |
非常に高い |
すべての MPS リソースを管理および操作する権限 |
有効化後は永続的に有効 |
スーパー管理者の操作にのみ使用します。プログラム、特にクライアント側では使用しないでください。 |
|
RAM ユーザーの AccessKey ペア |
より高い |
認可ポリシーに基づいて付与された権限 |
有効化後は永続的に有効 |
トランスコードやスナップショット作成などの特定の操作を認可する場合に適しています。複数の RAM ユーザーを作成できます。従業員の退職時など、AccessKey ペアが漏洩した場合は交換する必要があります。サーバー側で使用してください。 |
|
STS の一時的な AccessKey ペア |
安全 |
認可ポリシーに基づいて付与された権限 |
カスタムの有効期限 |
モバイルまたは Web クライアントに適しています。STS の一時的な AccessKey ペアを生成し、有効期限を処理するためのサーバーをデプロイする必要があります。 |
ポリシー
RAMユーザーとして MPS を使用するには、RAMユーザーに MPS と OSS へのアクセスを承認する必要があります。 また、RAMユーザーに Simple Message Queue (formerly MNS) およびAlibaba Cloud CDNへのアクセスを承認することもできます。 MPS に対する権限をRAMユーザーに付与するには、システムポリシーを使用する必要があります。 他のサービスに対する権限をRAMユーザーに付与するには、システムポリシーまたはカスタムポリシーを使用できます。
サービス | 説明 | 必須 | システムポリシー | カスタムポリシー |
MPS | RAMユーザーが MPS を使用できるようにするには、MPS に対する完全な権限をRAMユーザーに付与する必要があります。 | はい | MPS に対するすべての読み取りおよび書き込み権限を持つ AliyunMTSFullAccess システムポリシー。 | サポートされていません。 |
OSS | RAMユーザーが MPS を使用できるようにするには、OSS に対する読み取りおよび書き込み権限をRAMユーザーに付与する必要があります。 | はい | OSS に対するすべての読み取りおよび書き込み権限を持つ AliyunOSSFullAccess システムポリシー。 | サポートされています。 詳細については、このトピックの以降のセクションを参照してください。 |
Simple Message Queue (formerly MNS) | Simple Message Queue (formerly MNS) を使用してジョブに関する通知をサブスクライブするには、SMQ に対する読み取りおよび書き込み権限を RAM ユーザーに付与する必要があります。 | いいえ | SMQ に対するすべての読み取りおよび書き込み権限を持つ AliyunMNSFullAccess システムポリシー。 | <|
Alibaba Cloud CDN | Alibaba Cloud CDN を使用してコンテンツ配信を高速化するには、Alibaba Cloud CDN に対する読み取りおよび書き込み権限を RAM ユーザーに付与する必要があります。 | いいえ | CDN に対するすべての読み取りおよび書き込み権限を持つ AliyunCDNFullAccess システムポリシー。 |
システムポリシーがお客様の要件を満たさない場合は、カスタムポリシーを作成できます。 詳細については、「RAM ユーザーを作成して権限を付与する」をご参照ください。