Managed Security Service:Managed Security Service (MSS) によるクラウド リソースへのアクセス許可

前提条件

MSS の認可に必要な XML 証明書があることを確認してください。

操作手順

1. Alibaba Cloud アカウントを使用して RAM コンソールにログオンします。

2. SAML IdP を作成します。

   1. 左側のナビゲーションウィンドウで、Integrations > SSO を選択します。

   2. ロール SSO タブで [SAML] タブをクリックし、アイデンティティプロバイダーを作成 をクリックします。

   3. アイデンティティプロバイダーを作成 ページで、アイデンティティプロバイダー名 (例：aliyun-mssp) と 備考 を入力します。

   4. メタデータドキュメント セクションで、メタデータドキュメントをアップロード をクリックし、MSS の認可に使用する XML 証明書をアップロードします。

   5. アイデンティティプロバイダーを作成 をクリックします。

3. 前の手順で作成した IdP (aliyun-mssp) を信頼できるエンティティとして使用する RAM ロールを作成します。

   1. 左側のナビゲーションウィンドウで、Identities > Roles を選択します。

   2. Roles ページで、ロール作成 をクリックします。

   3. ロール作成 ページの ロール作成 で、信頼できるエンティティの種類として Switch to Policy Editor を選択します。

   4. [IdP] ドロップダウンリストから、手順 2 で作成した aliyun-mssp を選択します。

   5. エディターで条件を設定します。

      次の表に、サポートされているサービス固有の条件キーを示します。

      条件キー	説明	必須	例
      saml:recipient	SAML アサーションの受信者。Alibaba Cloud はこの値を確認して、意図した受信者であることを検証します。	はい	固定値：https://signin.alibabacloud.com/saml-role/sso

   6. はい をクリックします。ロール作成 ダイアログボックスで、ロール名前 (例：aliyun-mssp) を入力し、OK をクリックします。

4. aliyun-mssp RAM ロールに権限を付与します。

   1. RAM ロールの作成後に表示されるページで、[Grant Permission] をクリックします。別の方法として、左側のナビゲーションウィンドウで Identities > Roles を選択します。次に、aliyun-mssp RAM ロールを見つけ、操作 列の 許可を与える をクリックします。

   2. 権限付与 パネルで、次の権限を aliyun-mssp RAM ロールに追加します。詳細については、「RAM ロールの権限管理」をご参照ください。

      • ReadOnlyAccess：ECS、OSS、ApsaraDB RDS、SLS などのクラウド製品からセキュリティ設定データを収集し、検証します。

      • AliyunYundunFullAccess：Security Center、Cloud Firewall、Web Application Firewall (WAF) などのクラウドセキュリティ製品からセキュリティ設定データを収集し、検証します。この権限は、検査ルールのデプロイや、脅威のブロックなどの緊急対応の実行にも使用されます。

      • AliyunSupportFullAccess：製品に関する問い合わせのサポートチケットを管理します。

      • AliyunCloudMonitorFullAccess：CloudMonitor で Web サイト監視を設定します。

      • AliyunECSFullAccess (Optional)：イメージスナップショットの作成、セキュリティグループポリシーの変更、パッチの適用など、ホスト上での一部の緊急対応およびメンテナンス操作に必要です。