各 Alibaba Cloud アカウントで OpenAPI MCP Server を作成するのは複雑で、管理が困難です。OpenAPI MCP Server は、このプロセスを簡素化するためのマルチアカウント機能を提供します。この機能により、MCP Server を一元管理し、一貫したアクセスモードを使用して他の Alibaba Cloud アカウントにアクセスし、管理することができます。
マルチアカウント MCP 機能は、ロールの偽装を使用します。OAuth 権限付与には、Resource Access Management (RAM) ユーザーまたは RAM ロールを使用する必要があります。この機能は、Alibaba Cloud アカウントを使用した権限付与をサポートしていません。
マルチアカウント MCP パラメーター
マルチアカウント MCP
オプション | 説明 |
現在のアカウントのみ | MCP は、現在のアカウントのクラウドリソースに対してのみ操作できます。 |
マルチアカウント | MCP は、現在のアカウントおよび他のアカウントのクラウドリソースに対して操作できます。 |
マルチアカウント RAM ロール名
オプション | シナリオ | 機能紹介 |
ResourceDirectoryAccountAccessRole | 会社で リソースディレクトリを使用して設定されたエンタープライズマルチアカウントリソース構造 を使用しており、使用している RAM ユーザーが管理アカウントに属している場合、リソースディレクトリ管理ロールを使用して、すべてのメンバーアカウントのクラウドリソースに対して操作を実行できます。 | リソースディレクトリは、すべてのメンバーアカウントに RAM ロール (ResourceDirectoryAccountAccessRole) を自動的に作成します。このロールの信頼できるエンティティをリソースディレクトリの管理アカウントに設定します。これにより、管理アカウントはロールを偽装してすべてのメンバーアカウントにアクセスする権限を得ます。 |
カスタムロール | 任意の 2 つの Alibaba Cloud アカウント間。 | 偽装される Alibaba Cloud アカウントに RAM ロールを手動で作成する必要があります。信頼できるエンティティを、OpenAPI MCP Server の作成に使用される Alibaba Cloud アカウントに設定します。 説明 必要に応じて RAM ロールに権限を追加します。 |
ケース 1: リソースディレクトリ管理ロールを使用する
会社でリソースディレクトリで構築されたマルチアカウントリソース構造を使用している場合、メンバーアカウントの RAM ロール (ResourceDirectoryAccountAccessRole) を直接偽装して、そのクラウドリソースにアクセスできます。
1. 管理アカウントで OpenAPI MCP Server を作成する
Alibaba Cloud OpenAPI MCP サービスページに移動して MCP サービスを作成します。[Multi-account] を選択し、[Multi-account RAM role name] を ResourceDirectoryAccountAccessRole に設定します。
2. MCP クライアントからメンバーアカウントのクラウリソースのステータスをモニターする
このトピックでは、Tongyi Lingma を例として使用します。
Tongyi Lingma で MCP を設定する の手順に従って、OpenAPI MCP Server を設定します。
Tongyi Lingma のセッションウィンドウで、エージェントを選択します。次に、「xx リージョンの xxx アカウントの ECS インスタンスの実行ステータスをクエリする」などの自然言語の命令を入力します。
MCP ツールが実行されると、権限が付与されていれば、OpenAPI MCP Server は自動的に宛先アカウントに切り替わります。その後、そのアカウントで MCP 操作を実行します。
ケース 2: カスタムロールを使用する
ある企業は Alibaba Cloud 上でマルチアカウントアーキテクチャを使用し、研究開発 (R&D)、マーケティング、運用保守 (O&M)、金融などの部門を別々のアカウントに割り当て、リソースの隔離とアクセスの制御を行っています。O&M チームは、これらのアカウント全体のリソースをモニターする必要があります。以前は、O&M エンジニアは各アカウントに手動でログインする必要があり、非効率でした。OpenAPI MCP Server のマルチアカウントサポートにより、O&M チームは単一の統一された MCP Server をデプロイできます。これにより、MCP クライアントから自然言語を使用して、すべてのアカウントのリソースをクエリできます。たとえば、「xx リージョンの xxx アカウントの ECS インスタンスの実行ステータスをクエリする」などのクエリを実行できます。これにより、O&M の効率が大幅に向上します。
1. RAM ロールを作成する
O&M チームが偽装するために、ビジネスチームの Alibaba Cloud アカウントに RAM ロールを作成します。
RAM コンソールのロールの作成ページに移動し、RAM ロールを作成します。信頼できるエンティティタイプを Alibaba Cloud アカウントに、信頼できるエンティティを運用アカウントに設定します。
O&M エンジニアはこのロールを偽装してビジネスアカウントのクラウドリソースにアクセスするため、RAM ロールに必要な権限を付与する必要があります。詳細については、「RAM ロールへの権限付与」をご参照ください。
この RAM ロールの名前を O&M チームに提供します。
2. OpenAPI MCP Server を作成する
O&M チームの Alibaba Cloud アカウントで、Alibaba Cloud OpenAPI MCP サービスページに移動します。MCP サービスを作成する際に、[Multi-account] を選択します。[Custom role] フィールドに、ビジネスチームのアカウントから提供された RAM ロール名を入力します。
3. MCP クライアントで MCP 操作を実行する
O&M エンジニアは、MCP クライアントから ECS インスタンスの実行ステータスをモニターできます。次の例では、Tongyi Lingma を使用して MCP 操作を実行します。
Tongyi Lingma で MCP を設定する の手順に従って、OpenAPI MCP Server を設定します。
Tongyi Lingma のセッションウィンドウで、エージェントを選択します。次に、「xx リージョンの xxx アカウントの ECS インスタンスの実行ステータスをクエリする」などの自然言語の命令を入力します。
MCP ツールが実行されると、権限が付与されていれば、OpenAPI MCP Server は自動的に宛先アカウントに切り替わります。その後、そのアカウントで MCP 操作を実行します。
