Resource Access Management:RAM ユーザーの作成

コンソール

1. Alibaba Cloud アカウントを使用するか、管理者権限を持つ RAM ユーザー (AliyunRAMFullAccess ポリシーがアタッチされているユーザー) として RAM コンソール にサインインします。

2. 左側のナビゲーションペインで、アイデンティティ > ユーザー を選択します。

3. ユーザー ページで、ユーザーの作成 をクリックします。

4. ユーザーの作成 ページの ユーザーアカウント情報 セクションで、ユーザーの基本情報を設定します。

   • [ログイン名] (必須): 最大 64 文字。英字、数字、ピリオド (.)、ハイフン (-)、アンダースコア (_) を使用できます。

   • [表示名] (任意)：名前は最大 128 文字です。

   • [Tag] (任意): をクリックし、タグキーとタグ値を入力してユーザーを分類および管理します。

   説明

   複数の RAM ユーザーを一括で作成するには、ユーザーの追加 をクリックします。

5. アクセスモード セクションで、ユーザータイプに基づいてアクセスモードを選択します。

   重要

   • セキュリティのベストプラクティスとして、ユーザーごとにアクセスモードを 1 つだけ選択し、コンソールアクセスとアプリケーションからのプログラムによるアクセスを分離することを推奨します。RAM ユーザーがコンソールへのサインインと API コールの両方の機能を必要とする場合は、両方のアクセスモードを選択できます。[永続的な AccessKey] を選択した後、続行するには [AccessKey を作成する必要があることを確認します] チェックボックスを選択する必要があります。

   • 漏洩した AccessKey ペアは、アカウントを危険にさらします。リスクを軽減するため、代わりに Security Token Service (STS) トークン (一時的な認証情報) を使用してください。「Alibaba Cloud API を呼び出すためのアクセス認証情報の使用に関するベストプラクティス」をご参照ください。

   [コンソールアクセス]

   コンソールへのアクセス を選択します。

   • [ログインパスワードの設定]：パスワードを自動生成するか、カスタムパスワードを設定します。カスタムパスワードは、設定された複雑さの要件を満たす必要があります。詳細については、「RAM ユーザーのパスワードポリシーを設定する」をご参照ください。

   • [パスワードのリセット]: ユーザーが次回のサインイン時にパスワードをリセットする必要があるかどうかを指定します。

   • [MFA の有効化]: デフォルトで、すべてのユーザーに対して MFA が必須です。この設定を変更するには、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。ユーザーは初回サインイン時に MFA デバイスをバインドする必要があります。MFA デバイスのバインド。

   [プログラムによるアクセス]

   [永続的な AccessKey] を選択します。

   システムは RAM ユーザーの AccessKey ID と AccessKey シークレットを自動的に作成します。

   重要

   AccessKey シークレットは作成時にのみ表示され、後から取得することはできません。AccessKey シークレットは、ただちにダウンロードまたはコピーして保存する必要があります。漏洩した AccessKey ペアは、アカウント配下のすべてのリソースを危険にさらします。「AccessKey ペアを作成する」をご参照ください。

OpenAPI

コンソールアクセス用の RAM ユーザーの作成

1. GetDefaultDomain API を呼び出して、アカウントのデフォルトのログインサフィックスを取得します。形式は <AccountAlias>.onaliyun.com です。

2. CreateUser API を呼び出して RAM ユーザーを作成します。次のパラメーターが必要です：

   1. UserPrincipalName: RAM ユーザーのログオン名です。 形式は <username>@<AccountAlias>.onaliyun.com です。ここで、<username> は RAM ユーザー名、<AccountAlias>.onaliyun.com はデフォルトのログオンサフィックスです。

   2. DisplayName: RAM ユーザーの表示名です。上記の <username> とは異なる名前を設定できます。

3. CreateLoginProfile API を呼び出してログインプロファイルを作成し、アクセスモードと MFA を設定します。推奨設定は次のとおりです：

   1. UserPrincipalName：前の手順で作成したユーザー。

   2. Password：アカウントのパスワード強度要件に従って設定します。GetPasswordPolicy API を呼び出して、現在のパスワードポリシーを照会します。

   3. MFABindRequired: true に設定すると、RAM ユーザーに MFA が必須になります。

   4. ステータス: コンソールパスワードログオンを有効または無効にします。デフォルト値: Active。

プログラムによるアクセス用の RAM ユーザーの作成

1. GetDefaultDomain API を呼び出して、アカウントのデフォルトのログインサフィックスを取得します。サフィックスの形式は <AccountAlias>.onaliyun.com です。

2. CreateUser API を呼び出して RAM ユーザーを作成します。次のパラメーターが必要です：

   1. UserPrincipalName は、<username>@<AccountAlias>.onaliyun.com 形式の RAM ユーザーのログオン名です。ここで、<username> は RAM ユーザー名、<AccountAlias>.onaliyun.com はデフォルトのログオンサフィックスです。

   2. DisplayName: RAM ユーザーの表示名。上記の <username> とは異なる場合があります。

3. AccessKey ペア (AccessKey) を作成するには、CreateAccessKey 操作を呼び出し、前の手順で作成したユーザーの UserPrincipalName のみを渡します。

   重要

   CreateAccessKey レスポンスには、AccessKeyId と AccessKeySecret が含まれています。 AccessKeySecret は一度しか表示されません。後で取得することはできないため、すぐに保存してください。 AccessKey が漏洩すると、アカウント内のすべてのリソースが危険にさらされます。 詳細については、「AccessKey を作成する」をご参照ください。