すべてのプロダクト
Search

このプロダクト

    Resource Access Management:RAM ユーザー権限の管理

    ドキュメントセンター

    Resource Access Management:RAM ユーザー権限の管理

    最終更新日:Oct 16, 2026

    新しく作成された RAM ユーザーは、デフォルトでは権限を持っていません。RAM ユーザーが承認スコープ内で Alibaba Cloud リソースにアクセスまたは管理できるようにするには、権限を付与する必要があります。このトピックでは、RAM ユーザー権限の付与、表示、取り消しの方法について、セキュリティのベストプラクティスとトラブルシューティングのガイダンスとともに説明します。

    基本概念

    権限を付与する前に、以下の概念を理解してください。

    • 権限ポリシーのタイプ

      [権限ポリシー]は、アクセス権限のセットです。RAM は 2 つのタイプをサポートしています。一度に複数のポリシーを RAM ユーザーにアタッチできます。常に最小権限の原則に従ってください。

    • 承認の動作と制限

      • 即時有効：権限は即座に有効になります。待機期間や再ログインは不要です。

      • 数量制限：各 RAM ユーザーには、アタッチ可能なシステムポリシーとカスタムポリシーの最大数があります。詳細については、「制限」をご参照ください。

      • リソースグループの制約：対象のクラウドサービス、操作、リソースタイプがリソースグループレベルの承認をサポートしていることを確認してください。詳細については、「リソースグループレベルの承認をサポートするクラウドサービス」をご参照ください。

    RAM ユーザーへの権限の付与

    RAM ユーザーを作成していない場合は、「基本操作」に従って作成してください。RAM ユーザーを作成したら、最小権限の原則に従い、ユーザーの業務に必要な権限のみを付与してください。

    コンソール

    RAM コンソールには 2 つのエントリーポイントがあり、どちらも単一および一括承認をサポートしています。

    • ユーザー ページ：選択したユーザーに基づいてプリンシパルを自動的に選択します。ユーザー中心のワークフローに最適です。

    • [権限付与] ページ：プリンシパルを手動で選択し、アカウント全体のすべての承認記録を表示できます。権限中心のワークフローに最適です。

    説明

    ヒント：大規模な管理を行うには、同じ職責を持つ RAM ユーザーをユーザーグループに追加し、そのグループに権限を付与してください。[ID] > [ユーザーグループ] に移動してグループを管理してください。

    [ユーザー] ページから

    1. RAM コンソールにログインします。

    2. 左側メニューで、[ID] > [ユーザー] を選択します。

    3. ユーザー ページで、対象の RAM ユーザーを見つけ、操作 列の ポリシーのアタッチ をクリックします。

      複数の RAM ユーザーを選択し、ユーザーリストの下にある ポリシーのアタッチ をクリックして一括承認することもできます。

    4. [権限の付与] パネルで、次の設定を構成します。

      • [リソーススコープ]：

        • [アカウントレベル]：権限は Alibaba Cloud アカウント内のすべてのリソースに適用されます。

        • [リソースグループレベル]：権限は指定されたリソースグループ内でのみ適用されます。ログイン後、RAM ユーザーは上部メニューで承認されたリソースグループに切り替える必要があります。

          説明

          1. システムは、リスクの高いシステムポリシー (AdministratorAccess や AliyunRAMFullAccess など) に警告インジケーターを表示します。これらのポリシーは通常、すべてのクラウドリソースに対する完全な制御、または RAM の完全な管理を許可します。これらのポリシーは慎重に付与してください。

          2. リソースグループ承認の例については、「特定の ECS インスタンスへの RAM ユーザーのアクセス制御」をご参照ください。

      • [プリンシパル]：

        プリンシパルは、権限を受け取る RAM ユーザーです。[ユーザー] ページからは、システムが現在のユーザーを自動的に選択します。[権限付与] ページからは、手動でユーザーを選択する必要があります。一括選択も可能です。

      • [権限ポリシー]：

        • [システムポリシー]：検索して選択します。製品名 (例：ECS、OSS)、アクセスレベル (例：ReadOnly、FullAccess)、または完全なポリシー名でフィルタリングできます。たとえば、財務管理 (経費とコスト) の権限を付与するには、BSS を検索して AliyunBSSFullAccess (請求とコスト管理へのフルアクセス) やその他の財務関連ポリシーを見つけます。

          次の表に、一般的に要求される Alibaba Cloud 製品のシステムポリシー名を示します。これは、適切なポリシーをすばやく見つけるのに役立ちます。

          製品

          システムポリシー名

          アクセスレベル

          請求とコスト管理 (財務)

          AliyunBSSFullAccess

          フルアクセス

          CloudMonitor

          AliyunCloudMonitorReadOnlyAccess

          読み取り専用

          China Gateway (Website Builder)

          AliyunWebsiteBuildFullAccess

          フルアクセス

          Alibaba Cloud DevOps

          AliyunRDCFullAccess

          フルアクセス

          Model Studio (Bailian)

          AliyunBailianFullAccess

          フルアクセス

          Alibaba Cloud DNS

          AliyunDNSFullAccess

          フルアクセス

          SSL Certificates Service

          AliyunYundunCertFullAccess

          フルアクセス

          Cloud Phone

          AliyunECDFullAccess

          フルアクセス

          Support Center

          AliyunSupportFullAccess

          フルアクセス

          Resource Center

          AliyunResourceCenterFullAccess

          フルアクセス

          AgentBay

          AliyunAgentBayFullAccess

          フルアクセス

          Security Center

          AliyunYundunSASFullAccess

          フルアクセス

          対象製品のポリシーが見つからない場合は、システムポリシーリファレンスで完全なリストを参照するか、きめ細かなアクセス制御のためにカスタムポリシーを作成してください。

        • [カスタムポリシー]：付与する前にカスタムポリシーを作成する必要があります。

        • すべて選択のページネーション制限：ポリシーリストはページ分割されています。「すべて選択」は現在のページにのみ適用されます。ページを切り替えると、以前に選択したポリシーは選択済みリストに残りますが、新しいページのポリシーは自動的に選択されません。ページごとに選択する必要があります。

        • 管理者権限の迅速な付与：管理者権限を付与するには、ページごとにポリシーを選択するのではなく、検索ボックスで AdministratorAccess を検索して直接選択します。このポリシーを選択すると、高リスクの承認警告が表示されます。

      • (任意) [説明]：監査目的で承認理由やシナリオを入力してください。

      • [確認] をクリックします。

    5. 承認結果を確認し、[閉じる] をクリックします。

    [権限付与] ページから

    1. RAM コンソールにログインします。

    2. 左側メニューで、[権限] > [権限付与] を選択します。

    3. [権限付与] ページで、[権限の付与] をクリックします。

    4. [権限の付与] パネルで、プリンシパルを選択し、上記と同じ設定を構成します。

    5. 承認結果を確認し、[閉じる] をクリックします。

    説明

    RAM コンソールの概要ページにある [クイックスタート] 機能を通じて作成された RAM ユーザーには、選択したシナリオに基づいて対応するシステムポリシーが自動的に付与され、手動での承認は不要です。

    • スーパーユーザー：PowerUserAccess ポリシーが自動的に付与されます。このユーザーはクラウドサービスとリソースを管理できますが、RAM ID とその権限、リソースディレクトリ、または請求アカウントは管理できません。

    • アカウント管理者：AdministratorAccess ポリシーが自動的に付与されます。このユーザーは、RAM ID と権限を含むすべての Alibaba Cloud リソースを管理できます。

    これらのオプションは、スーパー管理者権限が本当に必要な場合にのみ使用してください。日常的な操作では、最小権限の原則に従い、特定のタスクに必要な権限のみを付与してください。

    OpenAPI

    カスタムポリシー[の付与]

    1. CreatePolicy を呼び出して[カスタムポリシー]を作成します。ポリシーの構文については、「権限ポリシーの要素」および「サンプルポリシーの概要」をご参照ください。

    2. AttachPolicyToUser を呼び出して、[アカウントレベル]でポリシーを付与します (PolicyType を Custom に設定) 。

      または、AttachPolicy を呼び出して、[リソースグループレベル]でポリシーを付与します。

    システムポリシー[の付与]

    • AttachPolicyToUser を呼び出して、システムポリシーを RAM ユーザーにアタッチします (PolicyType を System に設定) 。利用可能な PolicyName の値については、「システムポリシーリファレンス」をご参照ください。

    • または、AttachPolicy を呼び出して、[リソースグループレベル]でポリシーを付与します。

    RAM ユーザー権限の表示

    コンソール

    重要

    [権限付与] ページ (左側メニューの [権限] > [権限付与]) には、承認操作の履歴 (ポリシーが付与または取り消されたときの記録) が表示されます。RAM ユーザーの現在の有効な権限は表示されません。最近権限を付与したにもかかわらず [権限付与] ページで見つからない場合、またはユーザーの現在の権限の完全なリストが必要な場合は、次の手順で説明するように、ユーザー詳細ページに移動して [権限] タブをクリックしてください。[権限] タブには、個別の権限とユーザーグループから継承された権限の両方が表示されます。

    1. RAM コンソールにログインします。

    2. 左側メニューで、[ID] > [ユーザー] を選択します。

    3. ユーザー ページで、対象の RAM ユーザー名をクリックします。

    4. 権限管理 タブをクリックして、ユーザー権限 および グループ権限 を表示します。

    説明

    実際の権限の使用状況 (最終アクセス日時、アイドル状態のポリシー、または過剰な権限を持つアクセス) を評価するには、ユーザー詳細ページの [権限監査 (ベータ版)] タブ、または RAM 概要ページの [アクセス分析] を確認してください。

    OpenAPI

    ListPoliciesForUser を呼び出して、指定した RAM ユーザーのアカウントレベルの承認リストを照会します。この操作では、リソースグループレベルの承認は返されません。

    RAM ユーザー権限の取り消し

    説明

    重要：権限を取り消す前に、[権限監査 (ベータ版)] タブで最終使用日時を確認するか、RAM 概要ページの [アクセス分析] をレビューしてアイドル状態のポリシーを特定してください。これにより、アクティブな権限を誤って削除することを防ぎます。

    コンソール

    2 つのエントリーポイントがあります。

    • ユーザー ページ：ユーザー詳細ページからポリシーを取り消します。ユーザー中心のクリーンアップに最適です。

    • [権限付与] ページ：完全な承認記録リストから取り消します。権限中心のクリーンアップに最適です。

    [ユーザー] ページから

    1. RAM コンソールにログインします。

    2. 左側メニューで、[ID] > [ユーザー] を選択します。

    3. ユーザー ページで、対象の RAM ユーザー名をクリックします。

    4. 権限管理 タブをクリックします。ユーザー権限 セクションで、対象のポリシーを見つけ、[操作] 列の [権限の取り消し] をクリックします。

    5. [権限の取り消し] ダイアログボックスで、[プリンシパル] と [権限ポリシー] の詳細を確認し、[権限の取り消し] をクリックします。

    [権限付与] ページから

    1. RAM コンソールにログインします。

    2. 左側メニューで、[権限] > [権限付与] を選択します。

    3. [権限付与] ページで、対象の承認レコードの [操作] 列にある [権限の取り消し] をクリックします。

      複数のレコードを選択し、リストの下にある [権限の取り消し] をクリックして一括で取り消すこともできます。

    4. [権限の取り消し] ダイアログボックスで、[権限の取り消し] をクリックします。

    OpenAPI

    DetachPolicyFromUser を呼び出して、指定した権限ポリシーを RAM ユーザーから取り消します。

    セキュリティのベストプラクティス

    1. 最小権限の原則に従ってください。タスクに必要な最小限の権限のみを付与します。

      1. 例 1：特定の ECS インスタンスの管理

        • 誤り：AdministratorAccess または AliyunECSFullAccess を付与する。

        • 正しい：Resource を特定のインスタンス ID に制限するカスタムポリシーを作成する。例については、「特定の ECS インスタンスの管理を許可する」をご参照ください。

      2. 例 2：請求を除くすべての権限

        • 誤り：AdministratorAccess を付与する。

        • 正しい："Action": "bss:*","bssapi:*","efc:*" "Effect": "Deny" の明示的な拒否ステートメントを持つカスタムポリシーを作成する。例については、「請求を除くすべてのリソースの管理を許可する」をご参照ください。

    2. 権限を定期的に監査してください。RAM 概要ページの [ガバナンス検出] を使用して 90 日間使用されていない AccessKey とアイドル状態の RAM ユーザーを見つけてください。[アクセス分析 (ベータ版)] を使用して、過剰な権限を持つ ID を検出してください。

    3. 高リスクポリシーは慎重に使用してください。AliyunRAMFullAccess や類似のポリシーは、必要な場合 (例：RAM 管理者向け) にのみ付与し、それらのユーザーによるすべての操作を監視してください。

    4. 一時的なアクセスには RAM ロールを推奨します。短期的な承認 (CI/CD パイプライン、クロスアカウントアクセス、またはサードパーティの操作) の場合は、RAM ユーザーに長期間有効なポリシーをアタッチするのではなく、RAM ロールを作成して STS を使用し、一時的な認証情報を発行してください。一時的な認証情報は自動的に期限切れになります。

    RAM ユーザーのメッセージ通知に関する制限

    RAM ユーザーは、クォータアラートや 請求リマインダーなどのアカウントレベルの請求通知を受け取ることはできません。デフォルトでは、請求通知は Alibaba Cloud アカウントの連絡先にのみ送信され、受信者を変更することはできません。

    [基本通知設定] ページの メッセージセンターでは、アカウントの請求通知の通知チャネル (内部メッセージ、SMS、メール) と受信者がロックされており、すべての編集コントロール ([編集]、[ルールの一括編集]、[保存]) が無効になっています。

    回避策

    1. Alibaba Cloud アカウントで定期的にコンソールにログインし、メッセージセンターで請求通知を確認してください。

    2. 請求以外の通知 (製品通知や イベント通知など) については、Alibaba Cloud アカウントは [基本通知設定] ページの メッセージセンターで対応する通知タイプの [編集] をクリックし、[メッセージ受信者] タブで通知ルールを編集するか、[住所と連絡先] リンクから連絡先を追加できます。

    3. RAM ユーザーが メッセージセンターを操作できるようにするには、Alibaba Cloud アカウントが RAM ユーザーに AliyunConsoleFullAccess 権限を付与する必要があります。

    よくある質問

    RAM ユーザーは自身の権限を表示できますか？

    いいえ。 RAM ユーザーは、デフォルトでは自身の権限ポリシーリストを表示できません。回避策は次のとおりです。

    • 試行アクセス：目的のアクションを試行してください。「insufficient permissions」エラーは、権限が不足していることを示します。

    • 管理者に連絡：Alibaba Cloud アカウントの所有者または AliyunRAMFullAccess を持つ RAM ユーザーに、RAM コンソールから確認するように依頼してください。

    RAM ユーザーはクラウド製品を購入できますか？

    はい、ユーザーに必要な購入権限が付与されていれば可能です。詳細については、「RAM ユーザーがリソースを購入するために必要な権限」をご参照ください。

    RAM ユーザーの個別の支出制限や個別の請求はサポートされていません。すべての請求は Alibaba Cloud アカウントに集約されます。

    RAM ユーザーに一時的で取り消し可能な権限を付与するにはどうすればよいですか？

    一時的なニーズのために長期間有効なポリシーをアタッチしないでください。代わりに、必要な権限を持つ RAM ロールを作成し、RAM ユーザーが STS 経由で AssumeRole を呼び出して、期限付きの認証情報を取得するようにしてください。詳細については、「RAM ロールを引き受ける」をご参照ください。

    一時的な認証情報は自動的に期限切れになります。このアプローチは、CI/CD、クロスアカウント委任、およびサードパーティの操作に適しています。

    RAM ユーザーの「permission denied」エラーをトラブルシューティングするにはどうすればよいですか？

    RAM コンソールで [権限] > [権限診断] に移動してください。診断暗号文 (エラー応答からの AccessDeniedDetail.EncodedDiagnosticMessage) またはリクエスト ID を貼り付け、[診断の開始] をクリックしてください。システムは、一致したポリシー、条件、または明示的な拒否を含む拒否理由をデコードし、問題の特定を支援します。

    アクセス拒否エラーのトラブルシューティング

    RAM ユーザーに権限を付与する際に LimitExceeded.User.Policy エラーが発生した場合はどうすればよいですか？

    このエラーは、RAM ユーザーがアタッチ可能な権限ポリシーの最大数に達した場合に発生します。デフォルトでは、各 RAM ユーザーは最大 20 のシステムポリシーと 20 のカスタムポリシーをアタッチできます。現在のクォータ値については、「制限」をご参照ください。

    この問題を解決するには、次のアプローチの 1 つ以上を試してください。

    • ポリシーの統合：冗長または不要なポリシーを削除してください。たとえば、フルアクセスポリシー (AliyunECSFullAccess など) には、対応する読み取り専用ポリシー (AliyunECSReadOnlyAccess) のすべての権限がすでに含まれているため、両方は必要ありません。また、複数のシステムポリシーを 1 つのカスタムポリシーにマージして、合計数を減らすこともできます。

    • ユーザーグループの使用：同じ職責を持つ RAM ユーザーをユーザーグループに追加し、個々のユーザーではなくグループに権限を付与してください。ユーザーグループから継承された権限は、個々のユーザーのポリシーアタッチメントクォータにはカウントされません。

    • クォータの引き上げをリクエスト：クォータセンターに移動してください。一般クォータのあるプロダクト ページで、[リソースアクセス管理] を選択し、「RAM ユーザーにアタッチできるシステムポリシーの最大数」または「RAM ユーザーにアタッチできるカスタムポリシーの最大数」を検索して、クォータ引き上げリクエストを送信してください。