RAM ユーザーアカウントのセキュリティを強化するため、ユーザー名とパスワードに加えて、追加の認証レイヤーとして多要素認証 (MFA) を有効にすることを推奨します。MFA を有効にすると、RAM ユーザーはコンソールにログインしたり、機密性の高い操作を実行したりする際に、2 番目の要素による認証を完了する必要があります。これにより、認証情報の侵害によるセキュリティリスクを防ぐことができます。このトピックでは、RAM ユーザーがパスキー、仮想 MFA デバイス、セキュリティメールなどの MFA デバイスをバインドする方法について説明します。
お客様のアカウントと資産をより良く保護するため、Alibaba Cloud は 2025 年 3 月 17 日から、すべての RAM ユーザーに対してログイン時の多要素認証 (MFA) の必須化を段階的に進めていきます。詳細については、お知らせをご参照ください。
RAM ユーザー向け MFA メソッドの比較
ビジネス要件とセキュリティレベルに基づき、RAM ユーザーに対して 1 つまたは複数の MFA メソッドを選択できます。各 MFA メソッドの詳細については、「サポートされている MFA メソッド」をご参照ください。
|
MFA メソッド |
検証方法 |
セキュリティレベル |
依存関係 |
推奨事項 |
|
パスキー |
生体認証 (指紋/顔) またはデバイスの PIN |
最高 |
互換性のあるデバイス (コンピューター/電話) とブラウザ、またはハードウェアセキュリティキー。詳細については、「パスキーとは」をご参照ください。 |
最高レベルのセキュリティと、便利でパスワードレスのログインエクスペリエンスを必要とするユースケースに最適です。このメソッドはデバイス自体を検証し、その組み込みの生体認証を使用して認証を行います。 |
|
仮想 MFA デバイス |
時間ベースのワンタイムパスワード (TOTP) |
高 |
スマートフォン上の Alibaba Cloud アプリや Google Authenticator などの認証アプリ。 |
汎用性が高く、非常に安全で、リージョンやキャリアに制限されません。このメソッドは、主要な MFA オプションとして適しています。 |
|
セキュリティメール |
メール認証コード |
中 |
メールサービス |
バックアップの認証方式として使用されます。主要な MFA デバイスが利用できない場合、緊急ログインに使用できます。 |
-
デバイスの紛失、損傷、またはアプリのアンインストールによるログインの失敗を防ぐため、各 RAM ユーザーに対して、パスキーとセキュリティメールなど、少なくとも 2 種類の異なる MFA デバイスをバインドすることを強く推奨します。
-
U2F セキュリティキーはパスキーにアップグレードされました。アカウントに U2F セキュリティキーをバインドしている場合は、パスキーにアップグレードすることを推奨します。詳細については、「U2F セキュリティキーのパスキーへのアップグレード」をご参照ください。
グローバル MFA ポリシーの設定
RAM ユーザーが MFA デバイスをバインドする前に、Alibaba Cloud アカウントまたは RAM 管理者がグローバル MFA ポリシーを設定する必要があります。このポリシーは、MFA の強制ルールと許可されるデバイスタイプを定義します。これはデバイスをユーザーにバインドするものではありません。各 RAM ユーザーは、個別に自分のデバイスをバインドする必要があります。
グローバルポリシーを設定した後、このトピックで説明されているように MFA デバイスをバインドして MFA を有効にします。グローバル設定の詳細については、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。
パスキーのバインド
パスキーは、デバイスに組み込まれた生体認証 (指紋または顔) または PIN を使用して認証を行い、シームレスで非常に安全なパスワードレス体験を提供します。パスキーと互換性のあるオペレーティングシステムとブラウザ、またはハードウェアセキュリティキーが必要です。パスキーの制限事項とサポートされているデバイスタイプの詳細については、「パスキーとは」をご参照ください。
頻繁に使用するすべてのデバイスでパスキーをバインドすることを推奨します。また、新しいデバイスに切り替える際にロックアウトされるのを避けるため、バックアップとしてセキュリティメールをバインドする必要があります。
ログインページでの操作
RAM ユーザーが初めてコンソールにログインする場合、次の手順でパスキーをバインドできます。
-
RAM ユーザーログインページに移動し、RAM ユーザー名とログインパスワードを入力します。
-
[パスキー] を選択します。
-
[パスキーのバインド] ページで、画面の指示に従ってプロセスを完了します。詳細については、「RAM ユーザーのパスキーの管理」をご参照ください。
セキュリティページにて
-
RAM ユーザーログインページに移動してログインします。
-
右上隅で、プロフィール画像にカーソルを合わせ、[セキュリティ情報] をクリックします。
-
パスキー セクションで、パスキーを作成する をクリックします。
-
[パスキーのバインド] ページで、画面の指示に従ってプロセスを完了します。詳細については、「RAM ユーザーのパスキーの管理」をご参照ください。
仮想 MFA デバイスのバインド
仮想 MFA デバイスは、TOTP プロトコルをサポートする互換性のある認証アプリを通じてワンタイムパスワードを生成します。これは安全で汎用性の高い MFA メソッドです。開始する前に、Alibaba Cloud アプリや Google Authenticator などの認証アプリをモバイルデバイスにダウンロードしてインストールしてください。
ログインページでの操作
RAM ユーザーが初めてコンソールにログインする場合、次の手順で仮想 MFA デバイスをバインドできます。
-
RAM ユーザーログインページに移動し、RAM ユーザー名とログインパスワードを入力します。
-
[仮想 MFA デバイス] を選択します。
-
モバイルデバイスで、仮想 MFA デバイスを追加します。以下の例は、Android デバイスで Alibaba Cloud アプリを使用する方法と、iOS デバイスで Google Authenticator アプリを使用する方法を示しています。
Alibaba Cloud アプリ (Android)
-
Alibaba Cloud アプリにログインします。
-
ページの右上隅にある
アイコンをタップします。 -
右上隅にある [+] アイコンをタップし、仮想 MFA デバイスを追加する方法を選択します。
-
QR コードをスキャン (推奨)：[QR コードをスキャン] をタップし、Alibaba Cloud コンソールの [仮想 MFA デバイスのバインド] ページに表示される QR コードをスキャンして、[OK] をタップします。
-
手動で追加：[手動で追加] をタップし、Alibaba Cloud コンソールの [仮想 MFA デバイスのバインド] ページからアカウントとキーを入力して、[OK] をタップします。
-
Google Authenticator アプリ (iOS)
-
Google Authenticator アプリを開きます。
-
[開始] をタップし、仮想 MFA デバイスを追加する方法を選択します。
-
QR コードをスキャン (推奨)：[QR コードをスキャン] をタップし、Alibaba Cloud コンソールの [仮想 MFA デバイスのバインド] ページに表示される QR コードをスキャンします。
-
セットアップキーを入力：[セットアップキーを入力] をタップし、Alibaba Cloud コンソールの [仮想 MFA デバイスのバインド] ページからアカウントとキーを入力して、[追加] をタップします。
-
-
-
Alibaba Cloud コンソールで、モバイルデバイスに表示されるワンタイムパスワードを入力し、[OK] をクリックします。
セキュリティページでの操作
-
RAM ユーザーログインページに移動してログインします。
-
右上隅で、プロフィール画像にカーソルを合わせ、[セキュリティ情報] をクリックします。
-
MFA 情報 セクションで、MFAデバイス の右側にある [VMFA のバインド] をクリックします。
-
モバイルデバイスで、仮想 MFA デバイスを追加します。以下の例は、Android デバイスで Alibaba Cloud アプリを使用する方法と、iOS デバイスで Google Authenticator アプリを使用する方法を示しています。
Alibaba Cloud アプリ (Android)
-
Alibaba Cloud アプリにログインします。
-
ページの右上隅にある
アイコンをタップします。 -
右上隅にある [+] アイコンをタップし、仮想 MFA デバイスを追加する方法を選択します。
-
QR コードをスキャン (推奨)：[QR コードをスキャン] をタップし、Alibaba Cloud コンソールの [仮想 MFA デバイスのバインド] ページに表示される QR コードをスキャンして、[OK] をタップします。
-
手動で追加：[手動で追加] をタップし、Alibaba Cloud コンソールの [仮想 MFA デバイスのバインド] ページからアカウントとキーを入力して、[OK] をタップします。
-
Google Authenticator アプリ (iOS)
-
Google Authenticator アプリを開きます。
-
[開始] をタップし、仮想 MFA デバイスを追加する方法を選択します。
-
QR コードをスキャン (推奨)：[QR コードをスキャン] をタップし、Alibaba Cloud コンソールの [仮想 MFA デバイスのバインド] ページに表示される QR コードをスキャンします。
-
セットアップキーを入力：[セットアップキーを入力] をタップし、Alibaba Cloud コンソールの [仮想 MFA デバイスのバインド] ページからアカウントとキーを入力して、[追加] をタップします。
-
-
-
Alibaba Cloud コンソールで、モバイルデバイスに表示されるワンタイムパスワードを入力し、[OK] をクリックします。
RAM ユーザーに [MFA 認証ステータスを 7 日間記憶する] ことを許可することもできます。この機能が有効な場合、RAM ユーザーは MFA 中に [このデバイスを記憶し、7 日間は認証を要求しない] を選択できます。RAM ユーザーがこのオプションを選択すると、そのデバイスでは 7 日間 MFA を実行する必要がなくなります。この設定の構成方法については、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。
セキュリティメールのバインド
セキュリティメールは通常、バックアップの MFA メソッドとして使用されます。主要なデバイスが利用できない場合に認証オプションを提供します。
-
RAM ユーザーログインページに移動してログインします。
-
右上隅で、プロフィール画像にカーソルを合わせ、[セキュリティ情報] をクリックします。
-
MFA 情報 セクションで、安全なメールボックス の右側にある [バインド] をクリックします。
-
[メールのバインド] ページで、メールアドレスを入力し、認証コードを取得して入力し、[OK] をクリックします。
RAM ユーザーの基本情報にあるメールアドレスは参照用であり、バインドされたセキュリティメールとは異なります。2 番目の要素による認証には、セキュリティメールのみが使用できます。
U2F キーのパスキーへのアップグレード
RAM ユーザーが以前に U2F セキュリティキーをバインドしている場合でも、そのキーは引き続き使用できます。ただし、パスキーにアップグレードすることを推奨します。
-
RAM ユーザーログインページに移動してログインします。
-
右上隅で、プロフィール画像にカーソルを合わせ、[セキュリティ情報] をクリックします。
-
MFA 情報 セクションで、MFAデバイス の右側にある パスキーへのアップグレード をクリックします。
-
U2F をパスキーにアップグレードする ダイアログボックスで、[OK] をクリックします。
U2F デバイスをアップグレードするために 1 回限りの認証を実行するように促すメッセージが表示されます。認証が成功すると、U2F デバイスはパスキーにアップグレードされ、ログイン認証と MFA の両方に使用できるようになります。
-
[パスキーのバインド] ページで、セキュリティキーをバインドします。詳細については、「RAM ユーザーのパスキーの管理」をご参照ください。
次のステップ
MFA を有効にして MFA デバイスをバインドした後、RAM ユーザーは Alibaba Cloud にログインしたり、コンソールで機密性の高い操作を実行したりする際に、2 つの認証要素を提供する必要があります。
最初の要素：ユーザー名とパスワードを入力します。
2 番目の要素：仮想 MFA デバイスによって生成された、またはセキュリティメールアドレスに送信された認証コードを入力するか、パスキー認証を実行します。
-
RAM ユーザーの MFA デバイスを置き換える場合は、新しいデバイスをバインドする前に、現在のデバイスをまずバインド解除する必要があります。詳細については、「RAM ユーザーの MFA デバイスのバインド解除」をご参照ください。
-
RAM ユーザーの U2F セキュリティキーが紛失した場合、または Alibaba Cloud アプリや Google Authenticator などの MFA アプリを最初にバインド解除せずにアンインストールした場合、Alibaba Cloud にログインできなくなります。アクセスを回復するには、ユーザーは Alibaba Cloud アカウントまたは RAM 管理者に依頼して、RAM コンソールでデバイスをバインド解除してもらう必要があります。詳細については、「RAM ユーザーの MFA デバイスのバインド解除」をご参照ください。