すべてのプロダクト
Search

このプロダクト

    OpenAPI Explorer:アイデンティティ、認証情報、認可

    ドキュメントセンター

    OpenAPI Explorer:アイデンティティ、認証情報、認可

    最終更新日:Sep 25, 2026

    Alibaba Cloud は、アイデンティティ、認証情報、認可を使用して、クラウドリソースへのユーザーアクセスを保護します。アイデンティティはユーザーを一意に識別し、認証情報はアイデンティティを検証し、認可はユーザーがアクセスできるリソースを決定します。

    アイデンティティ

    アイデンティティはユーザーを一意に識別するものです。Alibaba Cloud はアイデンティティに基づいてユーザーの権限を決定し、Alibaba Cloud アカウント、Resource Access Management (RAM) ユーザー、RAM ロールの 3 種類をサポートしています。

    • Alibaba Cloud アカウント

      Alibaba Cloud アカウントは、そのアカウント配下のすべてのリソースを所有し、完全な権限を持ちます。アカウントには、すべてのリソース使用量に対して課金されます。Alibaba Cloud アカウントが特に必要な場合を除き、RAM ユーザーまたは RAM ロールを使用してコンソールにログインし、API を呼び出してください。

    • RAM ユーザー

      固定された ID と認証情報を持つ、個人またはアプリケーションを表すアイデンティティです。詳細については、「概要」をご参照ください。

    • RAM ロール

      RAM ロールは、ポリシーがアタッチされた RAM アイデンティティの一種です。RAM ユーザーとは異なり、ロールは単一の個人やアプリケーションに関連付けられておらず、信頼されたプリンシパルであれば誰でも引き受けることができます。ロールには、パスワードや AccessKey ペアなどの長期的な認証情報はありません。プリンシパルがロールを引き受けると、Security Token Service (STS) はそのセッションでのみ有効な一時的なセキュリティ認証情報を生成します。

      例えば、アカウント A が RAM ロール a_rr1 を作成し、それに Object Storage Service (OSS) に対する FullAccess 権限を付与し、アカウント B の RAM ユーザー b_ru1 に割り当てます。これにより、RAM ユーザー b_ru1 は a_rr1 を引き受けて、アカウント A の OSS リソースを管理できるようになります。

      詳細については、「概要」をご参照ください。

    認証情報

    認証情報は、ユーザーのアイデンティティを検証するものです。ログイン時には、認証のために有効な認証情報を提供する必要があります。Alibaba Cloud は、以下の種類の認証情報をサポートしています：

    • Alibaba Cloud アカウントまたは RAM ユーザーの AccessKey ペア。AccessKey ペアは、AccessKey ID と AccessKey シークレットで構成され、永続的に有効です。

      警告

      Alibaba Cloud アカウントの AccessKey ペアは、アカウントのすべてのリソースに対する完全なアクセス権を持ちます。AccessKey ペアが漏洩すると、深刻なセキュリティ上の脅威となります。RAM ユーザーの AccessKey ペアを使用し、定期的にローテーションしてください。RAM ユーザーの AccessKey ペアを作成する方法については、「AccessKey の作成」をご参照ください。

    • RAM ロールの STS トークン。STS トークンは、有効期間と権限を設定できる一時的な認証情報です。詳細については、「STS の概要」をご参照ください。

      説明

      STS トークンには有効期間があります。有効期限が切れた後は、STS トークンを更新する必要があります。

    • 認証と認可のためのベアラートークン。Cloud Call Center のみ、ベアラートークンを使用して Credentials クライアントを初期化できます。ベアラートークンを使用するには、[Configure Authentication Mode] パラメーターで BearerToken を選択します。

    認証情報の漏洩は、クラウドリソースとビジネスに深刻な脅威をもたらします。日常の運用保守において、認証情報のセキュリティを最優先してください。詳細については、「認証情報セキュリティソリューション」をご参照ください。

    認可

    認可とは、システム管理者またはリソース所有者がユーザーにリソースへのアクセス権限を付与することです。ユーザーのアイデンティティを検証した後、システムは割り当てられた権限に基づいて、ユーザーが特定の操作を実行できるかどうかを判断します。

    各 Alibaba Cloud API 操作には、最小限の権限が必要です。必要な権限は、[OpenAPI Explorer] の API の [API Docs] ページで確認できます。次の図は、Elastic Compute Service (ECS) の RunInstances API の認可情報を示しています。

    image

    • Alibaba Cloud アカウント

      Alibaba Cloud アカウントは、そのアカウント内のすべてのリソースに対する、変更不可能な完全な権限を持っています。Alibaba Cloud アカウントに権限を付与する必要はなく、Alibaba Cloud アカウントの権限は変更できません。ただし、アカウントがリソースディレクトリに属している場合、そのディレクトリのアクセス制御ポリシーが適用されることがあります。詳細については、「概要」をご参照ください。

    • RAM ユーザー

      API 操作の [API Docs] ページに表示される権限を RAM ユーザーに付与できます。詳細については、「RAM ユーザーの権限管理」をご参照ください。

    • RAM ロール

      RAM ユーザーの認可と比較して、RAM ロールの認可には追加のステップが必要です。

      1. RAM ロールの信頼されたエンティティ (Alibaba Cloud アカウント、RAM ユーザー、または別の RAM ロール) を指定します。

      2. 必要な権限を付与します。詳細については、「概要」をご参照ください。

      RAM ロールに権限を付与する際は、次のシナリオを考慮してください：

      シナリオ 1： 認可チェーン

      例えば、アカウント A の RAM ユーザー aRamUser1 はアカウント B の RAM ロール bRamRole1 を引き受けることができ、bRamRole1 はアカウント C の RAM ロール cRamRole1 を引き受けることができます。aRamUser1 は cRamRole1 を直接引き受ける権限を付与されていませんが、bRamRole1 を通じてアカウント C のリソースにアクセスできます。これが認可チェーンの効果です。

      シナリオ 2： 暗黙的な認可

      現在の Alibaba Cloud アカウントを RAM ロールの信頼されたエンティティとして設定すると、そのアカウント内の assumeRole 権限を持つすべての RAM ユーザーまたは RAM ロールが、デフォルトでそのロールを引き受けることができます。そのロールに昇格された権限がある場合、assumeRole 権限しか持たないすべての RAM ユーザーまたは RAM ロールが、それらの昇格された権限を取得してしまいます。