Resource Access Management:RAM ユーザーに関する FAQ

RAM ユーザーのログイン URL とユーザー名の形式

RAM ユーザーは、次のいずれかのユーザー名形式でログインできます：

• デフォルトドメイン名：<UserName>@<AccountAlias>.onaliyun.com (例: username@company-alias.onaliyun.com)。

  説明

  RAM ユーザーのログイン名は、ユーザープリンシパル名 (UPN) 形式です。 RAM コンソールに表示されるすべてのログイン名はこの形式に従います。<UserName> は RAM ユーザーのユーザー名を表します。<AccountAlias>.onaliyun.com はデフォルトドメイン名を表します。詳細については、「主要な概念」および「RAM ユーザーのログインドメインの管理」をご参照ください。

• アカウントエイリアス：<UserName>@<AccountAlias> (例: username@company-alias)。

  説明

  <UserName> は RAM ユーザーのユーザー名を表します。<AccountAlias> はアカウントエイリアスを表します。詳細については、「主要な概念」および「RAM ユーザーのログインドメインの管理」をご参照ください。

• ドメインエイリアス (設定が必要)：<UserName>@<DomainAlias> (例: username@example.com)。

  説明

  <UserName> は RAM ユーザーのユーザー名を表します。<DomainAlias> はドメインエイリアスを表します。詳細については、「主要な概念」および「ドメインエイリアスの作成と検証」をご参照ください。

デフォルトドメイン名とドメインエイリアス

各 Alibaba Cloud アカウントには、RAM ユーザーのログインおよびシングルサインオン (SSO) に使用される、<AccountAlias>.onaliyun.com 形式の一意のデフォルトドメイン名があります。デフォルトドメイン名の管理方法の詳細については、「RAM ユーザーのログインドメインの管理」をご参照ください。

ドメインエイリアスは、デフォルトドメイン名を置き換える、パブリックに解決可能なカスタムドメインです。詳細については、「ドメインエイリアスの作成と検証」をご参照ください。

RAM ユーザーがリソースを購入するために必要な権限

• 従量課金サービスを購入するには、RAM ユーザーはインスタンスまたはリソースを作成する権限が必要です。

• サブスクリプションリソースを購入するには、RAM ユーザーはインスタンス作成権限と支払い権限の両方が必要です。AliyunBSSOrderAccess ポリシーをアタッチして、支払い権限を付与します。

• リソースの作成には、依存リソースを使用または作成するための追加の権限が必要になる場合があります。

  ECS インスタンスを作成するためのポリシー例：

  このポリシーにより、RAM ユーザーは起動テンプレートから ECS インスタンスを作成できます。

  {
      "Version": "1",
      "Statement": [{
              "Action": [
                  "ecs:DescribeLaunchTemplates",
                  "ecs:CreateInstance",
                  "ecs:RunInstances",
                  "ecs:DescribeInstances",
                  "ecs:DescribeImages",
                  "ecs:DescribeSecurityGroups"
              ],
              "Resource": "*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "vpc:DescribeVpcs",
                  "vpc:DescribeVSwitches"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

  ECS インスタンスの作成には、依存リソースに対する追加の権限が必要になる場合があります：

  操作	ポリシー
  スナップショットを使用した ECS インスタンスの作成	ecs:DescribeSnapshots
  VPC の作成と使用	vpc:CreateVpc vpc:CreateVSwitch
  セキュリティグループの作成と使用	ecs:CreateSecurityGroup ecs:AuthorizeSecurityGroup
  ECS インスタンスへの RAM ロールの割り当て	ecs:DescribeInstanceRamRole ram:ListRoles ram:PassRole
  AccessKey ペアの使用	ecs:CreateKeyPair ecs:DescribeKeyPairs
  専用ホスト上での ECS インスタンスの作成	ecs:AllocateDedicatedHosts

  説明

  • カスタムポリシーの作成方法の詳細については、「カスタムポリシーの作成」をご参照ください。

  • RAM ユーザーへの権限の付与。

Alibaba Cloud アカウントは完全な権限を持ち、Alibaba Cloud サービスを直接購入できます。アカウントがサービスを購入する前に、本人確認を完了する必要があります。RAM ユーザーはデフォルトでは権限を持っていません。Alibaba Cloud アカウントは、Resource Access Management (RAM) コンソールで、対応するサービスのシステムポリシー (例: AliyunSAEFullAccess) を RAM ユーザーに明示的に付与する必要があります。ポリシーが付与されると、RAM ユーザーはアカウントに代わってサービスを購入できます。ベストプラクティスとして、権限を付与する際は最小権限の原則に従ってください。追加の注文や前払いが必要かどうかはサービスによって異なります。実際の要件については、コンソールの購入ページのプロンプトをご参照ください。

権限が付与された RAM ユーザーがリソースにアクセスできない理由

• 権限診断機能を備えたサービスでは、原因と解決策が直接表示されます。詳細については、「アクセス拒否エラーのトラブルシューティング」をご参照ください。

• 権限診断機能のないサービスについては、次の表を使用して問題を特定し、解決してください。

  原因	解決策
  ポリシーが無効です。	RAM ユーザーにアタッチされているポリシーが有効であり、要件を満たしていることを確認してください。
  カスタムポリシーに Deny ステートメントが設定されています。	RAM ユーザーまたはそのユーザーグループにアタッチされているポリシーに "Effect": "Deny" がないか確認してください。Deny ステートメントは常に Allow よりも優先されます。例えば、RAM ユーザーに AliyunECSReadOnlyAccess があっても、次の Deny ポリシーもアタッチされている場合、その RAM ユーザーは ECS インスタンスを表示できません： { "Statement": [{ "Action": "ecs:*", "Effect": "Deny", "Resource": "*" }], "Version": "1" }
  リソースが関連する認証方法をサポートしていない	認証方法はサービスによって異なります。サポートされている方法が使用されていることを確認してください： RAM ベースの認証をサポートするサービスについては、「RAM をサポートするサービス」をご参照ください。 リソースグループベースの認証をサポートするサービスについては、「リソースグループと連携するサービス」をご参照ください。 タグベースの認証をサポートするサービスについては、リソース管理コンソールにログインし、左側メニューで [タグ] > [タグ] を選択し、ページの右上隅にある [タグでサポートされるリソースタイプ] をクリックし、[タグ RAM サポート] の値が [サポート] であるリソースタイプを見つけます。
  リソースディレクトリのアクセス制御ポリシーがリソースへのアクセスを拒否している	Alibaba Cloud アカウントがリソースディレクトリに属しており、アクセス制御ポリシーがアクセスを拒否している場合、RAM ユーザーは影響を受けるリソースにアクセスできません。管理アカウントの所有者に連絡して、制御ポリシーを変更またはデタッチしてください。 メンバーが属するリソースディレクトリの管理アカウントを特定します。 メンバーが属するリソースディレクトリに関する情報の表示。 管理アカウントの所有者に連絡して、制御ポリシーの変更またはデタッチを依頼します。 詳細については、「カスタム制御ポリシーの変更」または「カスタム制御ポリシーのデタッチ」をご参照ください。

明示的な権限がない RAM ユーザーがリソースにアクセスできる理由

例えば、AliyunECSFullAccess システムポリシー、AliyunECSReadOnlyAccess システムポリシー、または関連するカスタムポリシーが RAM ユーザーにアタッチされていなくても、RAM ユーザーが ECS インスタンスを表示できる場合があります。

• RAM ユーザーのユーザーグループにアタッチされているポリシーを確認してください。

• アタッチされている他のポリシーに必要な権限が含まれているかどうかを確認してください。

  例えば、AliyunCloudMonitorFullAccess には "ecs:DescribeInstances"、"rds:DescribeDBInstances"、および "slb:DescribeLoadBalancer" が含まれます。AliyunCloudMonitorFullAccess を持つ RAM ユーザーは、ECS、ApsaraDB RDS、および SLB インスタンスを表示できます。

RAM ユーザーに更新権限を付与する方法

汎用的な更新ポリシーは存在しません。購入権限と支払い権限を持つサービス固有のカスタムポリシーを作成し、それを RAM ユーザーにアタッチしてください。

例えば、RAM ユーザーに ECS インスタンスの更新を許可するには、次のカスタムポリシーと AliyunBSSOrderAccess システムポリシーをアタッチしてください：

{
    "Version": "1",
    "Statement": [{
            "Action": [
                "ecs:DescribeLaunchTemplates",
                "ecs:RenewInstance",
                "ecs:DescribeInstances",
                "ecs:DescribeImages",
                "ecs:DescribeSecurityGroups"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

RAM ユーザーの課金方法

• RAM ユーザーによって発生したすべての料金は、親の Alibaba Cloud アカウントに課金されます。

• RAM ユーザーは、デフォルトで親アカウントの割引を継承します。

• 財務設定 (消費予算、与信限度額、支払い方法) はアカウント全体に適用され、RAM ユーザーごとに設定することはできません。

• RAM ユーザーは、親アカウントに資金を追加する権限を付与されることがあります。追加された資金は Alibaba Cloud アカウントに帰属します。

• RAM ユーザーとユーザーグループは個別に課金されません。

RAM の権限がすぐに有効にならない理由

RAM は、高可用性を実現するために、複数のリージョンとゾーンに権限データを複製しています。これは結果整合性に基づいているため、変更がすべての場所で同時に表示されない場合があります。

権限の更新はグローバルに配信されるため、すべてのサービスが変更を認識するまでにわずかな遅延が発生することがあります。このマルチリージョン設計により、ゾーンが利用できなくなった場合の自動フェイルオーバーも可能になります。

RAM ユーザーにアタッチされたポリシーの数が上限を超えた場合の対処法 (LimitExceeded.User.Policy)

RAM ユーザーにポリシーをアタッチする際に、アタッチされたポリシーの数がクォータを超えると、エラー LimitExceeded.User.Policy が返されます。

この問題を解決するには、次の手順に従ってクォータの引き上げをリクエストしてください：

1. Quota Center にログインします。

2. [RAM ユーザーがバインドできるシステムポリシーの数]または[RAM ユーザーがバインドできるカスタムポリシーの数]のクォータ項目を見つけます。

3. [適用] をクリックして、クォータ引き上げリクエストを送信します。

CloudSSO クイックログインリンクに関するよくある質問

CloudSSO のクイックログインリンクはセキュリティリスクになりますか。

いいえ。クイックログインリンクは、URL ショートカットを生成するヘルパー機能です。リンクをクリックした後も、標準の ID 認証を完了する必要があります。このリンクはパスワードなしのログインメカニズムではなく、セキュリティリスクをもたらすものではありません。

CloudSSO クイックログインリンク機能を無効にできますか。

いいえ。CloudSSO クイックログインリンクモジュールは無効にできません。

クイックログインリンクの生成記録を照会できますか。

いいえ。システムには生成記録を照会する機能はありません。クイックログインリンクは、固定されたルールに基づいて連結された URL であり、バックエンドの生成ログは記録されません。

他の Alibaba Cloud アカウントのログイン名を照会できますか。

いいえ。Alibaba Cloud アカウントは、別のアカウントのユーザー名 (ログイン名) を直接照会することはできません。ユーザー名は、メールアドレスやカスタムエイリアスなどのプライベートなアカウント情報であるため、アカウント間の照会はサポートされていません。

RAM ユーザーが FullAccess ポリシーを持っているにもかかわらず特定の機能にアクセスできない場合の対処法

製品レベルの FullAccess ポリシーは、すべてのアクションや機能をカバーしているとは限りません。RAM ユーザーに FullAccess ポリシーが付与されているにもかかわらず、アクセス拒否エラーが表示される場合は、次のシナリオを確認してください：

シナリオ 1：Model Studio (Bailian) のワークスペースへのアクセス

RAM の承認に加えて、Model Studio コンソールで RAM ユーザーをメンバーとして追加し、ロールを割り当てる必要があります。Model Studio コンソールの [ワークスペース] ページに移動し、ターゲットのワークスペースを選択して、RAM ユーザーをメンバーとして追加してください。

シナリオ 2: API コールで log:CreateStoreView や yundun-sas:GetSwitchRegionDetail などのエラーが返される

FullAccess ポリシーに、特定の具体的なアクションが含まれていない場合があります。エラーメッセージで報告された正確なアクションを含むカスタムポリシーを作成し、そのカスタムポリシーを RAM ユーザーにアタッチしてください。

シナリオ 3：Copilot または AI アシスタントへのアクセス

AliyunSupportFullAccess ポリシーが RAM ユーザーにアタッチされていること、およびアタッチされたポリシーの数がクォータを超えていないことを確認してください。

シナリオ 4：ドメイン名の検証

AliyunDNSFullAccess ポリシーが RAM ユーザーにアタッチされていることを確認してください。

RAM ユーザーにクラウドサービスを購入する権限を付与する方法

RAM ユーザーが ECS などのクラウドサービスを購入できるようにするには、次の権限を付与してください：

1. 製品権限：ターゲット製品の FullAccess ポリシーをアタッチします。例えば、ECS 操作を許可するために AliyunECSFullAccess ポリシーをアタッチするか、ecs:RunInstances などの必要なアクションを含むカスタムポリシーを作成します。

2. 支払い権限：RAM ユーザーがサブスクリプション (年次または月次) インスタンスを購入する必要がある場合は、RAM ユーザーが注文を行い支払いを行えるように、AliyunBSSOrderAccess ポリシーもアタッチする必要があります。

3. 全製品の購入権限：RAM ユーザーがすべてのクラウド製品を購入できるようにするには、AdministratorAccess ポリシーをアタッチします。このポリシーは完全な管理者アクセス権を提供するため、付与する際は注意が必要です。

権限を付与するには、RAM コンソールに移動し、[ID] > [ユーザー] を選択し、ターゲットユーザーを選択して [権限の付与] をクリックしてください。

RAM ユーザーから特定の権限を取り消したり削除したりすると、他のクラウドサービスに影響しますか。

クラウドサービスの権限は通常、互いに独立しています。ポリシーを削除した場合の影響は、そのポリシーのスコープによって異なります：

• AliyunRAMFullAccess ポリシーを削除すると、RAM 管理機能は取り消されますが、Message Service (MNS) などのビジネスサービスには影響しません。

• PowerUserAccess ポリシーを削除しても、ビジネスバックエンドへのアクセスには影響しませんが、RAM ユーザーは課金およびリソースディレクトリを管理する能力を失います。

ポリシーを削除する前に、次のいずれかの方法でその影響を確認してください：

• RAM コンソールの [権限診断] を使用して、ポリシーがカバーするリソースとアクションを確認してください。

• [アクセス分析] を使用して、ポリシーとその関連リソースの最近の使用状況を確認してください。

最小権限の原則に従ってください：攻撃対象領域を減らすために、不要な高リスクの権限は速やかに整理してください。

RAM ユーザーが権限をリクエストしたり、既存の権限を再利用したりする方法

権限のリクエスト

Alibaba Cloud は、RAM ユーザーのセルフサービスによる権限承認をサポートしていません。権限を取得するには、RAM ユーザーは Alibaba Cloud アカウント管理者に連絡し、RAM コンソールで必要なポリシーを付与してもらう必要があります。

権限の再利用

RAM ユーザーは、既に付与されている製品権限を再利用して、異なる機能モジュールにアクセスできます。例えば、RAM ユーザーに音声合成の権限が付与されている場合、同じユーザーはモジュールごとに別の RAM ユーザーを作成することなく、音声認識機能にアクセスできます。

現在の権限の表示

RAM ユーザーは、自身の完全な権限リストを直接表示することはできません。現在の権限を確認するには、ターゲットの機能にアクセスを試みるか、Alibaba Cloud アカウント管理者に連絡してアタッチされているポリシーを確認してもらいます。

RAM ユーザーに「current account does not allow RAM user logon」や「RAM logon required」などのログオンエラーが表示された場合はどうすればよいですか。

エラーメッセージに基づいて、次のシナリオを確認してください：

シナリオ 1：コンソールログインが有効になっていない

RAM ユーザーの詳細ページに移動し、[認証] > [ログイン情報] の下にある [コンソールアクセス] のステータスを確認してください。ステータスが [無効] または [未有効化] の場合は、[ログイン設定の変更] をクリックしてコンソールログインを有効にし、パスワードをリセットしてください。

シナリオ 2：グローバルセキュリティポリシーの制限

Alibaba Cloud アカウントに設定されているセキュリティポリシーを確認してください：

1. RAM コンソールで、[設定] > [アカウントセキュリティポリシー] に移動します。

2. [ログインマスク] (IP ホワイトリスト) が設定されているかどうかを確認します。RAM ユーザーの現在の IP アドレスが許可された範囲内にあることを確認します。

シナリオ 3：異常なログイン行動によってトリガーされたリスクコントロール

新しく作成されたアカウントや、プロキシ IP アドレスや通常のパターンとは異なる場所からのログイン試行など、異常な環境からのログインは、システムによって自動的にブロックされる可能性があります。

• 管理者に RAM コンソールで RAM ユーザーのパスワードをリセットしてもらい、制限を解除してください。

• AccessKey の漏洩などのセキュリティリスクによりアカウントがブロックされた場合は、まず異常なリソースをクリーンアップし、侵害された AccessKey を無効にしてから、制限の解除をリクエストしてください。

シナリオ 4：CloudSSO と RAM の設定の競合

CloudSSO でパスワードログインを無効にしても、独立した RAM のログイン設定には影響しません。RAM ユーザーのパスワードログインを完全に無効にする必要がある場合は、RAM コンソールでそのユーザーの [コンソールアクセス] を無効にする必要があります。

RAM ユーザーのログイン失敗を引き起こすその他の原因と解決策

current account does not allow RAM user logon エラーに加えて、以下の原因も RAM ユーザーのログイン失敗を引き起こす可能性があります。

ログイン方法の詳細については、「RAM ユーザーとして Alibaba Cloud マネジメントコンソールにログイン」をご参照ください。

RAM ユーザーのログイン方法、セッション期間、環境に関する制限

電話番号認証コードとパスワードログインの共存

RAM ユーザーに対してコンソールのパスワードログインを有効にした後も、電話番号認証コードによるログインは引き続き利用可能です。両方のログイン方法は独立して機能し、互いに影響しません。RAM ユーザーは電話番号をバインドする必要はありません。MFA 検証をスキップするオプションは、RAM ユーザー個別のログインプロセスにのみ影響し、Alibaba Cloud アカウント全体のセキュリティポリシー設定を変更するものではありません。

Alibaba Cloud アプリのセッション制限

Alibaba Cloud アプリでの RAM ユーザーの最大ログインセッション期間は 24 時間です。永続的な長期セッションはサポートされていません。

同一デバイスでの複数アカウントログイン

同じデバイスで異なるブラウザを使用して Alibaba Cloud アカウントと RAM ユーザーアカウントの両方に同時にログインしても、通常はセキュリティ上の例外は発生しません。ただし、パブリックプロキシ、データセンターの IP、または頻繁な IP 変更などの高リスクなネットワーク環境では、依然としてセキュリティブロックが発生する可能性があります。このような問題を回避するためには、安定した信頼できるネットワーク環境を使用してください。