Resource Access Management (RAM) は、OAuth 2.0 および OAuth 2.1 プロトコルによるユーザー認証とアプリケーションの認可に対応しています。
基本概念
|
概念 |
説明 |
|
ユーザー |
ログインしてアプリケーションにクラウドリソースへのアクセスを認可する、Alibaba Cloud アカウント、RAM ユーザー、または RAM ロールです。 説明
2024 年 9 月 10 日以前に作成された OAuth アプリケーションは、RAM ロールに対応していません。古いアプリケーションでこの機能を有効にするには、チケットを送信してください。 |
|
Alibaba Cloud OAuth サービス |
ユーザーを認証してその認可を取得し、認可されたアプリケーションにユーザーアイデンティティを表すトークンを発行するサービスです。 |
|
クライアントアプリケーション |
現在の Alibaba Cloud アカウントで作成されたアプリケーションです。このアカウント内のユーザーは、認可なしで直接アクセスできます。他の Alibaba Cloud アカウントのユーザーは、利用前にインストールと認可を行う必要があります。 以下のタイプのクライアントアプリケーションを作成できます。
|
|
サードパーティアプリケーション |
自身のアカウント外で作成された、インストールと認可が必要なアプリケーションです。 |
|
公式アプリケーション |
Alibaba Cloud サービスによって提供され、すべての Alibaba Cloud アカウントでインストール可能なサードパーティアプリケーションです。 |
|
OAuth スコープ |
OAuth スコープは、ログインユーザーに代わってアプリケーションがリソースにアクセスできる範囲を制限するものです。対応しているスコープは次のとおりです。
|
|
トークン |
OAuth サービスによって発行される、ログインユーザーを表すものです。
|
|
Alibaba Cloud API |
アプリケーションは Alibaba Cloud API を呼び出して、対応するクラウドリソースにアクセスします。 |
ユースケース
ID トークンクレーム
openid、aliuid、および profile スコープを持つ ID トークンには、以下のクレームが含まれます。
|
パラメーター |
説明 |
例 |
必要なスコープ |
|
exp |
トークンの有効期限を示す UNIX タイムスタンプです。 |
1517539523 |
openid |
|
sub |
一意で不透明なユーザー識別子です。Alibaba Cloud UID またはユーザー名は含まれません。 説明
ログインユーザーが RAM ロールの場合、sub はロールアクターに基づいて |
123456789012**** |
openid |
|
aud |
トークンのオーディエンスであり、OAuth アプリケーションのIDです。 |
4567890123456**** |
openid |
|
iss |
トークンの発行者です。値は |
https://oauth.aliyun.com |
openid |
|
iat |
トークンが発行された時刻を示す UNIX タイムスタンプです。 |
1517533200 |
openid |
|
aid |
ユーザーが所属する Alibaba Cloud アカウントの ID です。 |
177242285274**** |
aliuid |
|
uid |
ログインユーザーの ID です。有効な値は次のとおりです。
|
20124982101502**** |
aliuid |
|
type |
ログインユーザーのタイプです。有効な値は次のとおりです。
|
user |
profile |
|
login_name |
Alibaba Cloud アカウントのログイン名です。 説明
Alibaba Cloud アカウントの場合のみ返されます。 |
田中 |
profile |
|
upn |
RAM ユーザーのログイン名です。 説明
RAM ユーザーの場合のみ返されます。 |
Taro@examplecompany.onaliyun.com |
profile |
|
name |
ログインユーザーの名前です。有効な値は次のとおりです。
説明
RAM ユーザーと RAM ロールの場合のみ返されます。 |
山田 |
profile |