Resource Access Management:Alibaba Cloud CLI の OAuth 認証を設定する

概要

バージョン v3.0.299 以降、クラウドアシスタント CLI は認証情報タイプとして OAuth をサポートしています。このメソッドは、OAuth 2.0 Proof Key for Code Exchange (PKCE) フロー に基づく対話型ブラウザログインフローを使用して、Alibaba Cloud リソースにアクセスするためのユーザーの ID を表すトークンを取得します。

OAuth 認証には、従来の AccessKey ペア認証に比べて次の利点があります。

• セキュリティの向上: ローカル設定ファイルにプレーンテキストの AccessKey ペアを保存する必要がなくなります。これにより、認証情報の漏洩リスクが軽減されます。

• 既存の認証システムとの統合: パスキー、多要素認証 (MFA)、ユーザーベース SSO やロールベース SSO などのシングルサインオン (SSO) といったログインメソッドと連携します。

前提条件

開始する前に、次の要件が満たされていることを確認してください。

• CLI バージョン: クラウドアシスタント CLI のバージョンが v3.0.299 以降であること。

• 管理者権限: 初期設定を実行するために使用する管理者アカウントに AliyunRAMFullAccess 権限が付与されていること。

• 環境要件: Alibaba Cloud CLI と権限付与に使用するブラウザが同じデバイスで実行されていること。Secure Shell (SSH) を介して接続された Linux サーバーなど、グラフィカルユーザーインターフェイスのない環境では権限付与はサポートされていません。

設定フロー

1. 管理者が CLI アプリケーションを作成する。Alibaba Cloud アカウントの Resource Access Management (RAM) で、次の 2 つの方法のいずれかを使用して CLI アプリケーションを作成できます。

   • 管理者による権限付与による自動作成: CLI で最初の OAuth ログインを開始し、ブラウザで認証と管理者による権限付与を完了できます。プロセスが完了すると、システムは official-cli という名前の公式 OAuth アプリケーションを自動的に作成します。

   • コンソールからの手動インストール: RAM 管理者がコンソールから official-cli アプリケーションを手動でインストールします。これにより、管理者による権限付与のステップが不要になります。

2. 管理者が ID を割り当てる。CLI アプリケーションが作成された後、管理者は RAM ユーザーや RAM ロールなどの ID をアプリケーションに割り当てる必要があります。割り当てられた ID のみがこのメソッドを使用して CLI にログインできます。

3. ユーザーが権限を付与して CLI にログインする。割り当てられた RAM ユーザーは、自身のデバイスで CLI 設定コマンドを実行します。CLI は自動的にブラウザを開きます。ユーザーがブラウザでログインして権限を付与すると、CLI はトークンを取得して認証を完了できます。

ステップ 1: 管理者が CLI アプリケーションを作成する

このステップは、組織全体のためのアプリケーションを作成するために、AliyunRAMFullAccess 権限を持つ RAM 管理者が実行する必要があります。

ステップ 2: 管理者が ID を割り当てる

CLI アプリケーションが作成された後、管理者はそれを使用することが許可されている ID を割り当てる必要があります。

1. [コンソールへ移動] をクリックします。Resource Access Management (RAM) コンソール のサードパーティ OAuth アプリケーションの詳細ページにリダイレクトされます。

   

   または、RAM コンソールにログインし、[統合管理] > [OAuth アプリケーション] を選択し、[サードパーティアプリケーション] タブをクリックします。[サードパーティアプリケーション] リストで、表示名が official-cli のアプリケーションを見つけてクリックします。

2. コンソールの official-cli アプリケーションの詳細ページで、[割り当て] タブをクリックし、次に [割り当ての作成] をクリックします。

3. 表示される [割り当ての作成] パネルで、OAuth を使用して CLI にログインすることを許可する RAM ID (RAM ユーザーまたは RAM ロール) を選択し、[OK] をクリックして割り当てを完了します。

   

ステップ 3: ユーザーが権限を付与して CLI にログインする

管理者によって official-cli アプリケーションに割り当てられた RAM ユーザーが、自身のデバイスでこのステップを実行します。

1. OAuth 認証モードを選択する。ターミナルで、次のコマンドを実行して OAuth ログイン情報の設定を開始します。

   aliyun configure --profile OAuthProfile --mode OAuth

2. ログインサイトを選択する。プロンプトに従って、CN または INTL のいずれかを選択します。

3. ユーザーとしてログインする。自動的に開くブラウザウィンドウで、RAM ユーザー ID を使用してログインします。

4. ユーザー権限付与操作を実行します。ブラウザで開く [ユーザー権限付与] ページで、[権限付与] をクリックして権限付与を完了します。official-cli アプリケーションが削除されない限り、ユーザー権限付与は最初のログイン時にのみ必要で、その後のログインでは不要です。

   

   ロールベースのログイン: CLI の OAuth 認証メソッドは RAM ロールもサポートしています。ブラウザで、まずロールベース SSO を使用して ID プロバイダー (IdP) からコンソールにログインするか、コンソールにログインした後にID を対応する RAM ロールに切り替えます。次に、このプロシージャの最初のステップで説明されているように CLI 設定コマンドを実行して、OAuth ログインをトリガーします。これにより、RAM ロールとして CLI にログインできます。

   説明

   管理者の同意とユーザー権限付与は目的が異なります。管理者が同意した場合でも、ユーザー権限付与は依然として必要です。

   • 管理者による権限付与: official-cli アプリケーションを Alibaba Cloud アカウントに追加し、アカウント内の ID が割り当てられた後にアプリケーションにアクセスできるようにします。

   • ユーザー権限付与: Alibaba Cloud CLI が、許可された Alibaba Cloud リソースにアクセスしたり、ユーザーに代わって特定の操作を実行したりすることを承認します。

5. デフォルトリージョンを設定する。権限付与が成功したら、ターミナルに戻り、プロンプトが表示されたらデフォルトリージョンを入力します。

   Default Region Id []: cn-hangzhou

   説明

   一部の Alibaba Cloud プロダクトは、リージョン間のアクセスをサポートしていません。デフォルトリージョンを、リソースが配置されているリージョンに設定してください。

6. ターミナルに Configure Done とウェルカムメッセージが表示され、設定が成功したことを示します。

7. (オプション) ログイン ID を確認する。次のコマンドを実行して、現在の CLI セッションの ID 情報を表示します。

   aliyun sts GetCallerIdentity --profile OAuthProfile

制限事項

• official-cli アプリケーションをユーザーグループに割り当てることはできません。RAM ユーザーまたはロールに直接割り当てる必要があります。

• CLI とブラウザは同じデバイスで実行する必要があります。SSH を介して接続された Linux サーバーなど、グラフィカルユーザーインターフェイスのない環境では権限付与はサポートされていません。

トラブルシューティング

参考

• Linux に Alibaba Cloud CLI をインストールする

• Alibaba Cloud CLI を更新する

• Alibaba Cloud CLI の認証情報を設定する