Resource Access Management:Alibaba Cloud CLI を使用して STS OpenAPI を呼び出す

使用する前に Alibaba Cloud CLI をインストールします。インストールパッケージは、Windows、Linux、macOS で利用できます。ご利用のオペレーティングシステムに適したパッケージを選択してください。

• Windows：Windows への Alibaba Cloud CLI のインストール

• Linux：Alibaba Cloud CLI のインストールまたは更新

• macOS：macOS への Alibaba Cloud CLI のインストール

また、Cloud Shell を使用して Alibaba Cloud CLI コマンドをデバッグすることもできます。詳細については、「Cloud Shell とは」をご参照ください。

Alibaba Cloud CLI を使用する前に、認証情報とリージョン ID を設定します。Alibaba Cloud CLI は複数の認証情報タイプをサポートしています。詳細については、「認証情報の設定と管理」をご参照ください。この例では、AccessKey ペアを使用します。次の手順に従ってください。

1. 設定に使用する RAM ユーザーと AccessKey ペアを作成します。詳細については、「RAM ユーザーの作成」および「AccessKey の作成」をご参照ください。

2. RAM ユーザーに権限を付与します。この例では、AliyunSTSAssumeRoleAccess ポリシーをアタッチして、STS の AssumeRole API オペレーションを呼び出す権限を RAM ユーザーに付与する必要があります。詳細については、「RAM ユーザーの権限管理」をご参照ください。

3. 利用可能なリージョンの ID を取得します。Alibaba Cloud CLI は、指定したリージョンに API リクエストを送信します。利用可能な STS リージョンの一覧については、「エンドポイント」をご参照ください。

   説明

   Alibaba Cloud CLI を使用する場合、コマンドに --region オプションを追加して、リクエストのリージョンを指定できます。このオプションを追加すると、プロファイルと環境変数で指定されたリージョンがオーバーライドされます。詳細については、「コマンドラインオプション」をご参照ください。

4. RAM ユーザーの AccessKey ペアを使用して認証情報を設定します。設定プロファイルに AkProfile という名前を付けます。詳細については、「認証情報の設定と管理」をご参照ください。

例 1：利用可能な STS API の一覧表示

次の例では、--help オプションを使用して、Alibaba Cloud CLI で利用可能な STS API オペレーションを一覧表示します。「API 概要」でも利用可能な API オペレーションを表示できます。

1. コマンドを実行します。

   aliyun sts --help

2. 次の出力が返されます。

   Usage:
     aliyun sts <ApiName> --parameter1 value1 --parameter2 value2 ...
   Product: Sts (Security Token Service)
   Version: 2015-04-01
   Available Api List:
     AssumeRole            Calls the AssumeRole operation to obtain temporary security credentials (an STS Token) to assume a RAM role.
     AssumeRoleWithOIDC    [Anonymous] Calls the AssumeRoleWithOIDC operation to obtain temporary security credentials (an STS Token) for a RAM role during OIDC-based role SSO.
     AssumeRoleWithSAML    [Anonymous] Calls the AssumeRoleWithSAML operation to obtain temporary security credentials (an STS Token) for a RAM role during SAML-based role SSO.
     GetCallerIdentity     Calls the GetCallerIdentity operation to obtain information about the current caller's identity.

例 2：RAM ロールの引き受け

次の例では、AssumeRole コマンドを呼び出して、RAM ロールを引き受けるための一時的なセキュリティ認証情報を取得します。

1. コマンドを実行します。

   説明

   コマンドパラメーターに関するヘルプを取得するには：

   • aliyun sts AssumeRole --help コマンドを実行して、パラメーターの提案を取得します。

   • パラメーターの詳細な説明については、「AssumeRole」をご参照ください。

   aliyun sts AssumeRole \
     --DurationSeconds 3600 \
     --Policy '{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}' \
     --RoleSessionName alice \
     --RoleArn 'acs:ram::123456789012****:role/adminrole' \
     --ExternalId abcd1234

2. 以下は出力例です。SecurityToken の値が一時的なセキュリティ認証情報です。

   {
     "RequestId": "6894B13B-6D71-4EF5-88FA-F32781734A7F",
     "AssumedRoleUser": {
       "AssumedRoleId": "34458433936495****:alice",
       "Arn": "acs:ram::123456789012****:role/adminrole/alice"
     },
     "Credentials": {
       "SecurityToken": "********",
       "Expiration": "2015-04-09T11:52:19Z",
       "AccessKeySecret": "wyLTSmsyPGP1ohvvw8xYgB29dlGI8KMiH2pK****",
       "AccessKeyId": "STS.L4aBSCSJVMuKg5U1****"
     }
   }

   説明

   STS API オペレーションの呼び出し時にエラーが発生した場合は、返されたエラーコードを確認して、リクエストパラメーターと値が有効であることを確認してください。

   応答または SDK のエラーメッセージから得られるリクエスト ID を OpenAPI Troubleshoot で使用して、問題を診断できます。