Resource Access Management:クイックスタート：AccessKey ペアの作成と使用

直接アクセス

この方法はシンプルですが、クライアントに AccessKey ペアを直接設定するため、キーのハードコーディングや過剰な権限などのリスクが生じます。このアプローチは本番環境では推奨されません。

1. AliyunRAMReadOnlyAccess ポリシーをアタッチして、AccessKey ペアを持つ RAM ユーザーに RAM への読み取り専用権限を付与します。

   1. RAM コンソールにログインします。左側のナビゲーションウィンドウで、[アイデンティティ] > [ユーザー] を選択します。

   2. 対象の RAM ユーザーを見つけ、[操作] 列の [権限の追加] をクリックします。

   3. [権限の追加] パネルで、AliyunRAMReadOnlyAccess システムポリシーを検索して選択し、[OK] をクリックします。

   4. [ユーザー] ページに戻り、対象の RAM ユーザーのユーザー名をクリックします。[権限] > [個別] タブで、AliyunRAMReadOnlyAccess ポリシーがリストに表示されていることを確認します。

2. ローカルターミナルを開き、次のコマンドを実行してインタラクティブに認証情報を設定します。

   aliyun configure --profile AkProfile

3. プロンプトに従って、「AccessKey ペアの作成」ステップで取得した AccessKey ID と AccessKey Secret を入力します。次に、デフォルトのリージョンと言語を設定します。

   Configuring profile 'AkProfile' in 'AK' authenticate mode...
   Access Key Id []: <yourAccessKeyID>
   Access Key Secret []: <yourAccessKeySecret>
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] en: en
   Saving profile[AkProfile] ...Done.

4. AccessKey ペアとその他の設定が正しい場合、ターミナルは成功メッセージを返します。エラーが発生した場合は、「キャッシュされた Alibaba Cloud CLI 認証情報設定の削除」を行い、設定を確認してから、「ステップ 2」のコマンドを再実行してください。

   Configure Done!!!
   ..............888888888888888888888 ........=8888888888888888888D=..............
   ...........88888888888888888888888 ..........D8888888888888888888888I...........
   .........,8888888888888ZI: ...........................=Z88D8888888888D..........
   .........+88888888 ..........................................88888888D..........
   .........+88888888 .......Welcome to use Alibaba Cloud.......O8888888D..........
   .........+88888888 ............. ************* ..............O8888888D..........
   .........+88888888 .... Command Line Interface(Reloaded) ....O8888888D..........
   .........+88888888...........................................88888888D..........
   ..........D888888888888DO+. ..........................?ND888888888888D..........
   ...........O8888888888888888888888...........D8888888888888888888888=...........
   ............ .:D8888888888888888888.........78888888888888888888O ..............

5. 次のコマンドを実行して、API 呼び出しをテストします。

   aliyun ram ListUsers --profile AkProfile

   設定が成功すると、コマンドは RAM ユーザーのリストを返します。出力は次のようになります。

   {
     "IsTruncated": false,
     "RequestId": "B3CDEF9E-A3F4-58B0-80BE-54576991****",
     "Users": {
       "User": [
         {
           "Comments": "",
           "CreateDate": "2025-10-29T02:47:52Z",
           "DisplayName": "username",
           "UpdateDate": "2025-10-29T02:47:52Z",
           "UserId": "20376656170607****",
           "UserName": "username"
         },
         ...
       ]
     }
   }

間接アクセス

この方法では、長期的な AccessKey ペアを使用して一時的な STS トークンを取得し、API 呼び出しを行います。設定はより複雑になりますが、長期的な認証情報の漏洩リスクを低減し、ロールを通じて動的な権限管理が可能になるため、より安全なアプローチです。

1. AliyunSTSAssumeRoleAccess ポリシーをアタッチして、AccessKey ペアを持つ RAM ユーザーに STS の AssumeRole 操作を呼び出す権限を付与します。

   1. RAM コンソールにログインします。左側のナビゲーションウィンドウで、[アイデンティティ] > [ユーザー]を選択します。

   2. 対象の RAM ユーザーを見つけ、[操作] 列の [権限の追加] をクリックします。

   3. [権限の追加] パネルで、AliyunSTSAssumeRoleAccess システムポリシーを検索して選択し、[OK] をクリックします。

   4. [ユーザー] ページに戻り、対象の RAM ユーザーのユーザー名をクリックします。[権限] > [個別] タブで、AliyunSTSAssumeRoleAccess ポリシーがリストに表示されていることを確認します。

2. RAM ロールを作成し、そのロール ARN を取得します。

   1. RAM コンソールで、左側のナビゲーションウィンドウで[アイデンティティ] > [ロール]を選択します。

   2. [ロール] ページで、[ロールの作成] をクリックします。

   3. [ロールの作成] ページで、[プリンシパルタイプ] に [クラウドアカウント] を選択し、Alibaba Cloud アカウントを指定してから [OK] をクリックします。

   4. [ロールの作成] パネルで、cli-test-role などのロール名を入力し、[OK] をクリックします。

   5. ロールの詳細ページで、[基本情報] セクションにある ARN を見つけます。[コピー] をクリックし、後で使用するために ARN を保存します。

3. AliyunRAMReadOnlyAccess ポリシーをアタッチして、RAM ロールに RAM への読み取り専用権限を付与します。

   [アイデンティティ] > [ロール] ページに移動し、ロールの [操作] 列で [権限の追加] をクリックし、ステップ 1 の説明に従って権限を追加します。

4. ローカルターミナルを開き、次のコマンドを実行してインタラクティブに認証情報を設定します。

   aliyun configure --profile RamRoleArnProfile --mode RamRoleArn

5. プロンプトに従って、「AccessKey ペアの作成」ステップで取得した AccessKey ID と AccessKey Secret、および「ステップ 2」で取得したロール ARN を入力します。その他のパラメーターについては、次の例をご参照ください。

   Configuring profile 'RamRoleArnProfile' in 'RamRoleArn' authenticate mode...
   Access Key Id []: <yourAccessKeyID>
   Access Key Secret []: <yourAccessKeySecret>
   Sts Region []: cn-shanghai
   Ram Role Arn []: acs:ram::012345678910****:role/cli-test-role
   Role Session Name []: cli-test-role
   External ID []: abcd1234
   Expired Seconds [900]: 900
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] en: en
   Saving profile[RamRoleArnProfile] ...Done.

6. AccessKey ペアとその他の設定が正しい場合、ターミナルは成功メッセージを返します。エラーが発生した場合は、「キャッシュされた Alibaba Cloud CLI 認証情報設定の削除」を行い、設定を確認してから、「ステップ 4」のコマンドを再実行してください。

   Configure Done!!!
   ..............888888888888888888888 ........=8888888888888888888D=..............
   ...........88888888888888888888888 ..........D8888888888888888888888I...........
   .........,8888888888888ZI: ...........................=Z88D8888888888D..........
   .........+88888888 ..........................................88888888D..........
   .........+88888888 .......Welcome to use Alibaba Cloud.......O8888888D..........
   .........+88888888 ............. ************* ..............O8888888D..........
   .........+88888888 .... Command Line Interface(Reloaded) ....O8888888D..........
   .........+88888888...........................................88888888D..........
   ..........D888888888888DO+. ..........................?ND888888888888D..........
   ...........O8888888888888888888888...........D8888888888888888888888=...........
   ............ .:D8888888888888888888.........78888888888888888888O ..............

7. 次のコマンドを実行して、API 呼び出しをテストします。

   aliyun ram ListUsers --profile RamRoleArnProfile

   設定が成功すると、コマンドは RAM ユーザーのリストを返します。出力は次のようになります。

   {
     "IsTruncated": false,
     "RequestId": "B3CDEF9E-A3F4-58B0-80BE-54576991****",
     "Users": {
       "User": [
         {
           "Comments": "",
           "CreateDate": "2025-10-29T02:47:52Z",
           "DisplayName": "username",
           "UpdateDate": "2025-10-29T02:47:52Z",
           "UserId": "20376656170607****",
           "UserName": "username"
         },
         ...
       ]
     }
   }