Managed Security Service:Managed Security Service にクラウドリソースへのアクセスを許可する

前提条件

Managed Security Service の権限付与に必要な XML 証明書を持っていること。

手順

1. Alibaba Cloud アカウントで RAM コンソール にログインします。

2. SAML IdP を作成します。

   1. 左側のナビゲーションウィンドウで、[統合] > [SSO] を選択します。

   2. [ロールベースの SSO] タブで、[SAML] タブをクリックし、[IdP を追加] をクリックします。

   3. [ID プロバイダーを作成] ページで、[IdP 名] (aliyun-mssp など) と [メモ] を入力します。

   4. [メタデータファイル] セクションで、[アップロード] をクリックして、Managed Security Service の XML 権限付与証明書をアップロードします。

   5. [IdP を作成] をクリックします。

3. 前のステップで作成した IdP (aliyun-mssp) を信頼できるエンティティとして使用する RAM ロールを作成します。

   1. 左側のナビゲーションウィンドウで、[ID] > [ロール] を選択します。

   2. [ロール] ページで、[ロールを作成] をクリックします。

      

   3. [ロールを作成] ページの右上隅にある [ポリシーエディターに切り替え] をクリックします。

      

   4. ビジュアルエディターで、ステップ 2. SAML IdP を作成する で作成した aliyun-mssp IdP を指定します。

      

   5. エディターで条件を指定します。

      次の表に、サポートされているサービスレベルの条件キーを示します。

      条件キー	説明	必須	例
      saml:recipient	SAML アサーションの受信者。Alibaba Cloud は、この条件の値に基づいて SAML アサーションの受信者をチェックします。	はい	値を https://signin.alibabacloud.com/saml-role/sso に設定します。

   6. [OK] をクリックします。[ロールを作成] ダイアログボックスで、[ロール名] (aliyun-mssp など) を入力し、[OK] をクリックします。

4. 前のステップで作成した aliyun-mssp RAM ロールに権限を付与します。

   1. ロール作成ウィザードの完了ページで、[権限を付与] をクリックします。または、左側のナビゲーションウィンドウで [ID 管理] > [ロール] を選択します。次に、aliyun-mssp RAM ロールを見つけ、[アクション] 列の [権限を追加] をクリックします。

   2. [権限を追加] パネルで、aliyun-mssp RAM ロールに次の権限を付与します。詳細については、「RAM ロールに権限を付与する」をご参照ください。

      • ReadOnlyAccess: ECS、OSS、RDS、SLS などのクラウドプロダクトのセキュリティ構成機能のデータを収集および検証します。

      • AliyunYundunFullAccess: Security Center、Cloud Firewall (CFW)、Web Application Firewall (WAF) などのクラウドセキュリティプロダクトのセキュリティ構成機能のデータを収集および検証します。この権限は、クラウドセキュリティプロダクトに検査構成ルールをデプロイし、緊急時に即時修正とブロックを実行するためにも使用されます。

      • AliyunSupportFullAccess: プロダクトに関する問い合わせのチケットを管理します。

      • AliyunCloudMonitorFullAccess: サイトモニタリング構成の CloudMonitor 権限を管理します。

      • AliyunECSFullAccess (オプション): イメージスナップショットの作成、セキュリティグループポリシーの変更、パッチの適用など、ホストでの一部の緊急応答およびメンテナンス操作に必要です。