ロールベース SSO を利用することで、ユーザーは便利かつ安全に PAI の各機能を利用できます。この方法により、ログインプロセスが簡素化され、アカウントのセキュリティが強化され、管理の柔軟性が向上します。
背景情報
企業におけるますます厳格化するセキュリティとコンプライアンスの要件を満たすため、Alibaba Cloud ではロールベース SSO を使用したクラウドリソースへのアクセスが可能です。従来、エンタープライズユーザーはアカウントとパスワードを使用して Alibaba Cloud コンソールにログインしていましたが、ロールベース SSO はより高いセキュリティ基準を満たす、より安全なアクセス方法を提供します。詳細については、「SAML ロール SSO の概要」をご参照ください。
PAI がサポートするログイン方法
PAI は、以下の 3 つのログイン方法をサポートしています。
Alibaba Cloud アカウントログイン：
Alibaba Cloud アカウントまたは RAM ユーザーを使用して PAI に直接ログインできます。アカウントとパスワードを入力することで、Alibaba Cloud コンソールにアクセスし、その ID で PAI を使用できます。この場合、ご利用の Alibaba Cloud アカウントは自動的に PAI ワークスペースのメンバーとなり、対応するプロダクトの使用権限を取得します。
CloudSSO は、Alibaba Cloud リソースディレクトリ (RD) 内の複数のアカウントに対して、統合 ID 管理とアクセス制御を提供します。CloudSSO を使用して、Alibaba Cloud にアクセスするエンタープライズユーザーを一元管理し、企業の ID プロバイダー (IdP) と Alibaba Cloud 間のシングルサインオン (SSO) を設定し、RD 内のすべてのアカウントへのアクセス権限を一元管理できます。
ロールベース SSO を使用して Alibaba Cloud コンソールにアクセスし、PAI を使用することもできます。この方法では、RAM ロールが PAI ワークスペースのメンバーになります。RAM ロールを偽装したユーザーは、Alibaba Cloud アカウントでログインしたメンバーと同じプロダクト使用権限を受け取ります。RAM ロールの詳細については、「RAM ロールの概要」をご参照ください。
ロールベースのログイン
RAM ロールを作成し、信頼ポリシーを設定します。
RAM ユーザーによる場合
RAM ユーザーが Alibaba Cloud コンソールで ID を切り替えて RAM ロールを偽装する必要がある場合は、信頼できるエンティティタイプとして Alibaba Cloud アカウント を選択します。
信頼できる Account の RAM ロールを作成します。詳細については、「信頼できる Alibaba Cloud アカウントの RAM ロールを作成する」をご参照ください。
[信頼できるエンティティの選択] パラメーターで、[現在の Alibaba Cloud アカウント] を選択します。
対象ロールの詳細ページに移動し、信頼ポリシーを修正します。
以下のスクリプトで信頼ポリシーを更新します。
{ "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::YOUR_ROOT_ACCOUNT_ID:root" ] } }, { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "Service": [ "dataworks.aliyuncs.com" ] } } ], "Version": "1" }スクリプト内の acs:ram::ルートアカウント ID:root の ルートアカウント ID は、ご利用のアカウント ID に置き換える必要があります。アカウント ID は [基本情報] ページで取得できます。
1 人以上の RAM ユーザーを作成します。詳細については、「RAM ユーザーの作成」をご参照ください。
対象の RAM ユーザーの Actions 列で、権限の追加 をクリックします。RAM ユーザーに AliyunSTSAssumeRoleAccess 権限を付与し、ユーザーが STS の AssumeRole 操作を呼び出せるようにします。
ID プロバイダーによる場合
ID プロバイダー (IdP) のユーザーが Alibaba Cloud にログインして RAM ロールを偽装する必要がある場合は、信頼できるエンティティタイプとして IdP を選択します。
信頼できる IdP の RAM ロールを作成します。詳細については、「信頼できる IdP の RAM ロールを作成する」をご参照ください。
対象ロールの詳細ページに移動し、信頼ポリシーを修正します。
以下のスクリプトで信頼ポリシーを更新します。
{ "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "Federated": [ "acs:ram::YOUR_ROOT_ACCOUNT_ID:saml-provider/IDP" ] }, "Condition": { "StringEquals": { "saml:recipient": "https://signin.aliyun.com/saml-role/sso" } } }, { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "Service": [ "dataworks.aliyuncs.com" ] } } ], "Version": "1" }スクリプト内の acs:ram::ルートアカウント ID:saml-provider/IDP の ルートアカウント ID を、ご利用のルートアカウント ID に置き換えます。アカウント ID は [ユーザー基本情報] ページで取得できます。
アクセスポリシーを設定します。
ユーザーが使用する必要のある PAI のサブプロダクトに基づいて、ロールにアクセスポリシーを追加できます。
アクセスポリシーを作成します。例えば、ポリシーに PAIDefaultPolicy という名前を付けます。詳細については、「クラウドサービスの依存関係と権限付与： Designer」をご参照ください。[ポリシードキュメント] タブに、以下の内容を入力します。
{ "Version": "1", "Statement": [ { "Action": [ "cs:GetClusterById", "cs:GetClusters", "cs:GetUserConfig", "cs:DescribeClusterNodes", "cs:DescribeClusterInnerServiceKubeconfig", "cs:RevokeClusterInnerServiceKubeconfig" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "vpc:DescribeVSwitchAttributes", "vpc:DescribeVpcs", "vpc:DescribeVSwitches", "vpc:DescribeVpcAttribute" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "ecs:DescribeSecurityGroupAttribute", "ecs:DescribeSecurityGroups", "ecs:CreateNetworkInterface", "ecs:DeleteNetworkInterface", "ecs:DescribeNetworkInterfaces", "ecs:CreateNetworkInterfacePermission", "ecs:DescribeNetworkInterfacePermissions", "ecs:DeleteNetworkInterfacePermission" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "nas:DescribeFileSystems", "nas:CreateMountTarget", "nas:DescribeMountTargets", "nas:ModifyMountTarget", "nas:DescribeProtocolMountTarget" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "cr:ListNamespace", "cr:ListRepository", "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository", "cr:PushRepository", "cr:GetInstance", "cr:GetInstanceVpcEndpoint", "cr:ListInstance", "cr:ListInstanceDomain" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "oss:ListBuckets", "oss:GetObjectMetadata", "oss:GetObject", "oss:ListObjects", "oss:PutObject", "oss:CopyObject", "oss:CompleteMultipartUpload", "oss:AbortMultipartUpload", "oss:InitiateMultipartUpload", "oss:UploadPartCopy", "oss:UploadPart", "oss:DeleteObject" ], "Resource": "acs:oss:*:*:*", "Effect": "Allow" }, { "Action": [ "datasetacc:DescribeInstance", "datasetacc:DescribeSlot", "datasetacc:DescribeEndpoint" ], "Resource": "*", "Effect": "Allow" } ] }権限タイプ
説明
cs:***
Container Service for Kubernetes (ACK) 関連の権限。
vpc:***
Virtual Private Cloud (VPC) 関連の権限。
ecs:***
Elastic Compute Service (ECS) 関連の権限。
nas:***
NAS 関連の権限。
cr:***
Container Registry (ACR) 関連の権限。
oss:***
Object Storage Service (OSS) 関連の権限。
datasetacc:***
データセットの高速化関連の権限。
Resource Access Management コンソールで、 を選択します。
ステップ 1 で作成したロールを検索し、ロール名 をクリックして ロール詳細 ページに移動します。
Permissions タブで、権限の付与 をクリックして、作成したアクセスポリシーをロールに付与します。
[権限の付与] パネルで、[権限付与範囲] を [Alibaba Cloud アカウント] に設定します。権限ポリシーの検索ボックスで、PAIDefaultPolicy カスタムポリシーを検索して選択し、[OK] をクリックします。
RAM ロールを PAI ワークスペースに追加し、権限を付与します。
PAI のサブプロダクトを使用するには、RAM ロールをワークスペースメンバーとして追加する必要があります。ワークスペース管理者は、ワークスペースの Members and Roles ページで作成した RAM ロールを追加できます。詳細については、「ワークスペースメンバーの管理」をご参照ください。[メンバーの追加] パネルで、[ユーザー/ロール] タブをクリックし、追加するメンバーのリストから対象の RAM ロールを検索して選択し、下部にある [ロールの割り当て] ドロップダウンリストからワークスペースロールを割り当て、[OK] をクリックします。
説明作成したロールが見つからない場合は、以下をお試しください。
[メンバーの追加] パネルで、[更新] をクリックしてアカウントリストを更新します。
RAM ロールを偽装して PAI コンソールにログインしてから、再度ロールを検索して追加してみてください。詳細については、「RAM ロールの偽装」をご参照ください。
PAI コンソールにログインして、アルゴリズム開発を開始します。
権限付与が完了すると、ユーザーは RAM ロールを偽装して PAI コンソールにログインし、アルゴリズム開発を開始できます。詳細については、「RAM ロールの偽装」をご参照ください。