Resource Access Management:RAM ユーザーに関するよくある質問

RAM ユーザーのログイン URL とユーザー名の形式

RAM ユーザーは、次のいずれかのユーザー名形式でログインできます。

• デフォルトドメイン名：<UserName>@<AccountAlias>.onaliyun.com（例：username@company-alias.onaliyun.com）。

  説明

  RAM ユーザーのログイン名はユーザープリンシパル名 (UPN) 形式です。RAM コンソールに表示されるすべてのログイン名はこの形式に従います。<UserName> は RAM ユーザーのユーザー名を示します。<AccountAlias>.onaliyun.com はデフォルトドメイン名を示します。詳細については、「基本概念」および「RAM ユーザーログインドメインの管理」をご参照ください。

• アカウントエイリアス：<UserName>@<AccountAlias>（例：username@company-alias）。

  説明

  <UserName> は RAM ユーザーのユーザー名を示します。<AccountAlias> はアカウントエイリアスを示します。詳細については、「基本概念」および「RAM ユーザーログインドメインの管理」をご参照ください。

• ドメインエイリアス（構成が必要）：<UserName>@<DomainAlias>（例：username@example.com）。

  説明

  <UserName> は RAM ユーザーのユーザー名を示します。<DomainAlias> はドメインエイリアスを示します。詳細については、「基本概念」および「ドメインエイリアスの作成と検証」をご参照ください。

デフォルトドメイン名とドメインエイリアス

各 Alibaba Cloud アカウントには、RAM ユーザーログインおよびシングルサインオン (SSO) に使用される一意のデフォルトドメイン名（形式：<AccountAlias>.onaliyun.com）があります。デフォルトドメイン名の管理方法の詳細については、「RAM ユーザーログインドメインの管理」をご参照ください。

ドメインエイリアスは、公開解決可能なカスタムドメインで、デフォルトドメイン名を置き換えます。詳細については、「ドメインエイリアスの作成と検証」をご参照ください。

リソースを購入するために RAM ユーザーに必要な権限

• 従量課金サービスを購入するには、RAM ユーザーにインスタンスまたはリソースを作成する権限が必要です。

• サブスクリプションリソースを購入するには、RAM ユーザーにインスタンス作成権限と支払い権限の両方が必要です。AliyunBSSOrderAccess ポリシーをアタッチして、支払い権限を付与します。

• リソースの作成には、依存リソースを使用または作成するための追加権限が必要な場合があります。

  ECS インスタンスを作成するためのポリシーの例：

  このポリシーにより、RAM ユーザーは起動テンプレートから ECS インスタンスを作成できます。

  {
      "Version": "1",
      "Statement": [{
              "Action": [
                  "ecs:DescribeLaunchTemplates",
                  "ecs:CreateInstance",
                  "ecs:RunInstances",
                  "ecs:DescribeInstances",
                  "ecs:DescribeImages",
                  "ecs:DescribeSecurityGroups"
              ],
              "Resource": "*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "vpc:DescribeVpcs",
                  "vpc:DescribeVSwitches"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

  ECS インスタンスの作成には、依存リソースに対する追加の権限が必要な場合があります。

  操作	ポリシー
  スナップショットを使用して ECS インスタンスを作成	ecs:DescribeSnapshots
  VPC を作成および使用	vpc:CreateVpc vpc:CreateVSwitch
  セキュリティグループを作成および使用	ecs:CreateSecurityGroup ecs:AuthorizeSecurityGroup
  ECS インスタンスに RAM ロールを割り当て	ecs:DescribeInstanceRamRole ram:ListRoles ram:PassRole
  AccessKey ペアを使用	ecs:CreateKeyPair ecs:DescribeKeyPairs
  専用ホスト上に ECS インスタンスを作成	ecs:AllocateDedicatedHosts

  説明

  • カスタムポリシーの作成方法の詳細については、「カスタムポリシーの作成」をご参照ください。

  • 「RAM ユーザーへの権限付与」をご参照ください。

Alibaba Cloud アカウントは完全な権限を持ち、直接 Alibaba Cloud サービスを購入できます。アカウントがサービスを購入する前に、本人確認を完了する必要があります。RAM ユーザーはデフォルトで権限を持っていません。Alibaba Cloud アカウントは、Resource Access Management (RAM) コンソールで対応するサービスのシステムポリシー（例：AliyunSAEFullAccess）を明示的に RAM ユーザーに付与する必要があります。ポリシーが付与されると、RAM ユーザーはアカウントを代表してサービスを購入できます。ベストプラクティスとして、権限を付与する際は最小権限の原則に従ってください。追加注文または前払いが必要かどうかはサービスによって異なります。実際の要件については、コンソールの購入ページのプロンプトを参照してください。

権限が付与された後も RAM ユーザーがリソースにアクセスできない理由

• 権限診断機能を備えたサービスでは、原因と解決策が直接表示されます。詳細については、「アクセス拒否エラーのトラブルシューティング」をご参照ください。

• 権限診断機能を備えていないサービスについては、次の表を使用して問題を特定し、解決します。

  原因	解決策
  ポリシーが無効です。	RAM ユーザーにアタッチされているポリシーが有効であり、要件を満たしていることを確認します。
  カスタムポリシーに Deny 文が構成されています。	RAM ユーザーまたはそのユーザーグループにアタッチされているポリシーに "Effect": "Deny" が含まれていないか確認します。Deny 文は常に Allow より優先されます。たとえば、RAM ユーザーに AliyunECSReadOnlyAccess が付与されていても、次の Deny ポリシーが同時にアタッチされている場合、RAM ユーザーは ECS インスタンスを表示できません。 { "Statement": [{ "Action": "ecs:*", "Effect": "Deny", "Resource": "*" }], "Version": "1" }
  リソースが関連する認証方式をサポートしていません。	認証方式はサービスごとに異なります。サポートされている方式を使用していることを確認します。 RAM ベース認証をサポートするサービスを確認するには、「RAM をサポートするサービス」をご参照ください。 リソースグループベース認証をサポートするサービスを確認するには、「リソースグループで動作するサービス」をご参照ください。 タグベース認証をサポートするサービスを確認するには、Resource Management コンソール にログインし、左側のナビゲーションウィンドウで タグ > タグ を選択し、ページ右上隅の タグによる RAM サポート対象のリソースタイプ をクリックして、タグ RAM サポート の値が サポート となっているリソースタイプを確認します。
  リソースディレクトリのアクセス制御ポリシーがリソースへのアクセスを拒否しています。	Alibaba Cloud アカウントがリソースディレクトリに属しており、アクセス制御ポリシーによってアクセスが拒否されている場合、RAM ユーザーは影響を受けるリソースにアクセスできません。管理アカウントのオーナーに連絡して、コントロールポリシーを変更またはデタッチしてもらってください。 メンバーが属するリソースディレクトリの管理アカウントを確認します。 「メンバーが属するリソースディレクトリの情報の確認」をご参照ください。 管理アカウントのオーナーに連絡して、コントロールポリシーを変更またはデタッチしてもらいます。 詳細については、「カスタムコントロールポリシーの変更」または「カスタムコントロールポリシーのデタッチ」をご参照ください。

明示的な権限が付与されていないにもかかわらず RAM ユーザーがリソースにアクセスできる理由

たとえば、RAM ユーザーに AliyunECSFullAccess システムポリシー、AliyunECSReadOnlyAccess システムポリシー、または関連するカスタムポリシーがアタッチされていなくても、ECS インスタンスを表示できます。

• RAM ユーザーのユーザーグループにアタッチされているポリシーを確認します。

• 他のアタッチされたポリシーに必要な権限が含まれているかどうかを確認してください。

  たとえば、AliyunCloudMonitorFullAccess には "ecs:DescribeInstances"、"rds:DescribeDBInstances"、および "slb:DescribeLoadBalancer" が含まれています。AliyunCloudMonitorFullAccess を持つ RAM ユーザーは、ECS、ApsaraDB RDS、および SLB インスタンスを表示できます。

RAM ユーザーに更新権限を付与する方法

汎用的な更新ポリシーは存在しません。サービス固有のカスタムポリシーを作成し、購入および支払い権限を含めて RAM ユーザーにアタッチします。

たとえば、RAM ユーザーが ECS インスタンスを更新できるようにするには、次のカスタムポリシーと AliyunBSSOrderAccess システムポリシーをアタッチします。

{
    "Version": "1",
    "Statement": [{
            "Action": [
                "ecs:DescribeLaunchTemplates",
                "ecs:RenewInstance",
                "ecs:DescribeInstances",
                "ecs:DescribeImages",
                "ecs:DescribeSecurityGroups"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

RAM ユーザーの課金方法

• RAM ユーザーによって発生したすべての料金は、親の Alibaba Cloud アカウントに請求されます。

• RAM ユーザーはデフォルトで親の Alibaba Cloud アカウントの割引を継承します。

• 財務設定（消費予算、与信限度額、支払方法）はアカウント全体に適用され、RAM ユーザーごとに設定することはできません。

• RAM ユーザーは、親アカウントに資金を追加する権限を付与されることがあります。追加された資金は Alibaba Cloud アカウントに帰属します。

• RAM ユーザーおよびユーザーグループは個別に課金されません。

RAM 権限がすぐに反映されない理由

RAM は高可用性のために複数のリージョンおよびゾーンにわたって権限データをレプリカ化します。これは結果整合性に従っており、変更がすべての場所で同時に反映されるとは限りません。

権限の更新はグローバルに分散されるため、すべてのサービスが変更を認識するまでに短時間の遅延が発生する可能性があります。このマルチリージョン設計により、ゾーンが利用できなくなった場合に自動フェイルオーバーが可能になります。

RAM ユーザーにアタッチされたポリシーの数が制限（LimitExceeded.User.Policy）を超えた場合の対処方法

RAM ユーザーにポリシーをアタッチする際に、アタッチされたポリシーの数がクォータを超えると、エラー LimitExceeded.User.Policy が報告されます。

この問題を解決するには、次の手順でクォータの増加をリクエストします。

1. クォータセンター にログインします。

2. 各 RAM ユーザーにアタッチ可能なポリシーの数 のクォータ項目を見つけます。

3. 申請 をクリックして、クォータ増加リクエストを送信します。

CloudSSO クイックログインリンクに関するよくある質問

CloudSSO クイックログインリンクはセキュリティリスクですか？

いいえ。クイックログインリンクは URL ショートカットを生成するヘルパー機能です。リンクをクリックした後も、標準的な身分認証を完了する必要があります。このリンクはパスワードレスログインメカニズムではなく、セキュリティリスクを引き起こしません。

CloudSSO クイックログインリンク機能を無効にできますか？

いいえ。CloudSSO クイックログインリンクモジュールは無効にできません。

クイックログインリンクの生成記録を照会できますか？

いいえ。システムは生成記録の照会を提供していません。クイックログインリンクは固定ルールに基づいて連結された URL であり、バックエンドで生成ログは記録されません。

別の Alibaba Cloud アカウントのログイン名を照会できますか？

いいえ。Alibaba Cloud アカウントは、別のアカウントのユーザー名（ログイン名）を直接照会できません。ユーザー名はメールアドレスやカスタムエイリアスなどの非公開アカウント情報であり、クロスアカウントクエリはサポートされていません。

FullAccess ポリシーが付与されているにもかかわらず RAM ユーザーが特定の機能にアクセスできない場合の対処方法

プロダクトレベルの FullAccess ポリシーは、すべての操作または機能をカバーしていない場合があります。RAM ユーザーに FullAccess ポリシーが付与されているにもかかわらずアクセス拒否エラーが発生する場合は、次のシナリオを確認してください。

シナリオ 1：Model Studio (Bailian) ワークスペースへのアクセス

RAM 認可に加えて、Model Studio コンソールで RAM ユーザーをメンバーとして追加し、ロールを割り当てる必要があります。Model Studio コンソールの ワークスペース ページに移動し、対象のワークスペースを選択して RAM ユーザーをメンバーとして追加します。

シナリオ 2：API 呼び出しで log:CreateStoreView や yundun-sas:GetSwitchRegionDetail などのエラーが返される

FullAccess ポリシーには特定の操作が含まれていない場合があります。エラーメッセージに報告された正確な操作を含むカスタムポリシーを作成し、そのカスタムポリシーを RAM ユーザーにアタッチします。

シナリオ 3：Copilot または AI アシスタントへのアクセス

AliyunSupportFullAccess ポリシーが RAM ユーザーにアタッチされており、アタッチされたポリシーの数がクォータを超えていないことを確認します。

シナリオ 4：ドメイン名の検証

AliyunDNSFullAccess ポリシーが RAM ユーザーにアタッチされていることを確認します。

RAM ユーザーにクラウドサービスの購入権限を付与する方法

RAM ユーザーが ECS などのクラウドサービスを購入できるようにするには、次の権限を付与します。

1. プロダクト権限：対象プロダクトの FullAccess ポリシーをアタッチします。たとえば、ECS 操作を許可するには AliyunECSFullAccess ポリシーをアタッチするか、ecs:RunInstances などの必要な操作を含むカスタムポリシーを作成します。

2. 支払い権限：RAM ユーザーがサブスクリプション（年間または月間）インスタンスを購入する必要がある場合は、注文および支払いを許可するために AliyunBSSOrderAccess ポリシーもアタッチする必要があります。

3. 全プロダクト購入権限：RAM ユーザーがすべてのクラウドプロダクトを購入できるようにするには、AdministratorAccess ポリシーをアタッチします。このポリシーは完全な管理アクセス権を提供するため、付与には注意が必要です。

権限を付与するには、RAM コンソールに移動し、[ID 管理] > [ユーザー] を選択し、対象のユーザーを選択して、[権限付与] をクリックします。

RAM ユーザーから特定の権限を取り消すまたは削除すると、他のクラウドサービスに影響しますか？

クラウドサービスの権限は通常、互いに独立しています。ポリシーの削除が及ぼす影響は、そのポリシーの範囲によって異なります。

• AliyunRAMFullAccess ポリシーを削除すると、RAM 管理機能が取り消されますが、Message Service (MNS) などのビジネスサービスには影響しません。

• PowerUserAccess ポリシーを削除しても、ビジネスバックエンドへのアクセスには影響しませんが、RAM ユーザーは課金およびリソースディレクトリの管理機能を失います。

ポリシーを削除する前に、次のいずれかの方法でその影響を確認してください。

• RAM コンソールの 権限診断 を使用して、ポリシーがカバーするリソースおよび操作を確認します。

• アクセス分析 を使用して、ポリシーと関連リソースの最近の使用状況を確認します。

最小権限の原則に従い、不要な高リスク権限を迅速にクリーンアップして攻撃対象領域を縮小してください。

RAM ユーザーが権限をリクエストしたり、既存の権限を再利用したりする方法

権限のリクエスト

Alibaba Cloud は RAM ユーザー向けのセルフサービスポリシー承認をサポートしていません。権限を取得するには、RAM ユーザーが Alibaba Cloud アカウント管理者に連絡し、RAM コンソールで必要なポリシーを付与してもらう必要があります。

権限の再利用

RAM ユーザーは、すでに付与されたプロダクト権限を再利用して、異なる機能モジュールにアクセスできます。たとえば、RAM ユーザーに音声合成権限が付与されている場合、同じユーザーが音声認識機能にアクセスするために、モジュールごとに別の RAM ユーザーを作成する必要はありません。

現在の権限の確認

RAM ユーザーは、自分の完全な権限リストを直接確認できません。現在の権限を確認するには、対象機能にアクセスを試みるか、Alibaba Cloud アカウント管理者にアタッチ済みポリシーを確認してもらってください。

RAM ユーザーが「current account does not allow RAM user logon」または「RAM logon required」といったログインエラーを受け取った場合の対処方法

エラーメッセージに基づいて、次のシナリオを確認します。

シナリオ 1：コンソールログインが有効になっていない

RAM ユーザーの詳細ページに移動し、認証 > ログイン情報 の下にある コンソールアクセス のステータスを確認します。ステータスが 無効 または 未有効化 の場合、ログイン設定の変更 をクリックしてコンソールログインを有効化し、パスワードをリセットします。

シナリオ 2：グローバルセキュリティポリシーの制限

Alibaba Cloud アカウントに構成されたセキュリティポリシーを確認します。

1. RAM コンソールで、設定 > アカウントセキュリティポリシー に移動します。

2. すべての RAM ユーザーのログインを禁止 オプションが選択されているか確認します。

3. ログインマスク（IP ホワイトリスト）が構成されているか確認します。RAM ユーザーの現在の IP アドレスが許可範囲内にあることを確認します。

シナリオ 3：異常ログイン動作によるリスクコントロールのトリガー

新しく作成されたアカウントや、プロキシ IP アドレスや通常とは異なる場所など、異常な環境からのログイン試行は、自動的にシステムによるブロックをトリガーする可能性があります。

• 管理者が RAM コンソールのユーザー詳細ページで RAM ユーザーのパスワードをリセットして、制限を解除します。

• AccessKey の漏洩などのセキュリティリスクによりアカウントがブロックされた場合は、まず異常なリソースをクリーンアップし、侵害された AccessKey を無効化した後、制限の解除をリクエストします。

シナリオ 4：CloudSSO と RAM 設定の競合

CloudSSO でパスワードログインを無効化しても、独立した RAM ログイン構成には影響しません。RAM ユーザーのパスワードログインを完全に無効にするには、RAM コンソールでそのユーザーの コンソールアクセス を無効にする必要があります。

RAM ユーザーログイン失敗のその他の原因と解決方法

「current account does not allow RAM user logon」エラーに加えて、次の原因も RAM ユーザーログイン失敗を引き起こす可能性があります。

ログイン方法の詳細については、「RAM ユーザーとして Alibaba Cloud 管理コンソールにログインする」をご参照ください。

RAM ユーザーログイン方法、セッション期間、環境に関する制限事項

電話番号認証コードとパスワードログインの共存

RAM ユーザーに対してコンソールパスワードログインが有効化されると、電話番号認証コードログインも引き続き利用可能になります。両方のログイン方法は独立して機能し、互いに影響しません。RAM ユーザーは電話番号をバインドする必要はありません。MFA 認証をスキップしても、Alibaba Cloud アカウントのセキュリティ設定には影響しません。

Alibaba Cloud アプリのセッション制限

Alibaba Cloud アプリでの RAM ユーザーの最大ログインセッション期間は 24 時間です。永続的な長時間セッションはサポートされていません。

同一デバイスでのマルチアカウントログイン

同一デバイス上で異なるブラウザを使用して Alibaba Cloud アカウントと RAM ユーザーアカウントの両方に同時にログインしても、通常はセキュリティ例外はトリガーされません。ただし、パブリックプロキシ、データセンター IP、頻繁な IP 変更などのハイリスクネットワーク環境では、引き続きセキュリティブロックがトリガーされる可能性があります。このような問題を回避するには、安定した信頼できるネットワーク環境を使用してください。