このトピックでは、Resource Access Management (RAM) の基本的な概念について説明し、サービスを正しく使用できるようにします。
ID 管理の概念
概念 | 説明 |
Alibaba Cloud アカウント | Alibaba Cloud サービスを使用する前に、まず Alibaba Cloud アカウントを登録する必要があります。 Alibaba Cloud アカウントは、リソースの所有権、リソース使用量の測定、および課金の基本的なエンティティです。 Alibaba Cloud アカウントは、そのリソースの料金を支払い、それらを完全に制御します。 デフォルトでは、Alibaba Cloud アカウントのみがそのリソースにアクセスできます。 他のユーザーがリソースにアクセスするには、Alibaba Cloud アカウントからの明示的な権限付与が必要です。 Alibaba Cloud アカウントは、オペレーティングシステムのルートユーザーまたは管理者ユーザーのようなものです。 このため、ルートアカウントまたはメインアカウントと呼ばれることもあります。 Alibaba Cloud アカウントのセキュリティを確保するため、必要でない限り、コンソールへのログインや AccessKey ペアの作成に Alibaba Cloud アカウントを使用しないでください。 Alibaba Cloud アカウントで RAM ユーザーを作成し、その RAM ユーザーに管理者権限を付与してから、その RAM ユーザーを使用して管理操作を実行します。 |
アカウント管理者 | アカウント管理者は、アカウント内のすべてのリソースを管理する権限を持っています。 アカウント管理者は、Alibaba Cloud アカウントまたは AdministratorAccess 権限を持つ RAM ユーザーです。 セキュリティ上の理由から、RAM ユーザーをアカウント管理者として使用することをお勧めします。 詳細については、「アカウント管理者を作成する」をご参照ください。 |
RAM 管理者 | RAM 管理者は、アカウント内の RAM リソースを管理する権限を持っています。 RAM 管理者は、Alibaba Cloud アカウントまたは AliyunRAMFullAccess 権限を持つ RAM ユーザーです。 セキュリティ上の理由から、RAM ユーザーを RAM 管理者として使用することをお勧めします。 |
ID | RAM には、RAM ユーザー、ユーザーグループ、RAM ロールの 3 種類の ID があります。 RAM ユーザーとユーザーグループは、RAM のエンティティ ID タイプです。 RAM ロールは仮想ユーザー ID です。 |
デフォルトドメイン名 | Alibaba Cloud は、各 Alibaba Cloud アカウントに [デフォルトドメイン名] を デフォルトドメイン名の設定方法の詳細については、「デフォルトドメイン名の表示と変更」をご参照ください。 |
アカウントエイリアス | アカウントエイリアスは、アカウントエイリアスとも呼ばれます。 アカウントエイリアスのデフォルト値は、Alibaba Cloud アカウント ID たとえば、企業は Alibaba Cloud アカウントのアカウントエイリアスを company1 に設定できます。 その後、このアカウントの alice という名前の RAM ユーザーは、alice@company1 を使用して Alibaba Cloud 管理コンソールにログインできます。 アカウントエイリアスの設定方法の詳細については、「デフォルトドメイン名の表示と変更」をご参照ください。 |
ドメインエイリアス | インターネット上で解決できるドメイン名がある場合は、それを使用してデフォルトドメイン名をオーバーライドできます。 これは [ドメインエイリアス] と呼ばれます。 ドメインエイリアスは、デフォルトドメイン名のエイリアスです。 説明 ドメインエイリアスを使用する前に、ドメインの所有権の検証を完了する必要があります。 検証に合格すると、デフォルトドメイン名が必要なすべてのシナリオで、ドメインエイリアスを使用してデフォルトドメイン名を置き換えることができます。 ドメインエイリアスの設定方法の詳細については、「ドメインエイリアスの作成と検証」をご参照ください。 |
RAM ユーザー | RAM ユーザーは、RAM のエンティティ ID タイプです。 特定の ID と認証情報を持ちます。 RAM ユーザーは通常、特定の人またはアプリケーションに対応します。 RAM ユーザーには次の特徴があります。
RAM ユーザーの作成方法の詳細については、「RAM ユーザーの作成」をご参照ください。 |
ログインパスワード | ログインパスワードは、Alibaba Cloud へのログインに使用される認証情報です。 ユーザーの実際の ID を証明します。 説明 ログインパスワードは照会できません。 パスワードを安全に保管し、定期的に変更してください。 RAM ユーザーのログインパスワードの設定方法の詳細については、「RAM ユーザーのログインパスワードの変更」をご参照ください。 |
AccessKey ペア | AccessKey ペアは、Alibaba Cloud がユーザーに提供する永続的なアクセス認証情報です。 AccessKey ペアは、AccessKey ID と AccessKey Secret で構成されます。
AccessKey ID と AccessKey Secret は、アルゴリズムに基づいて RAM によって生成されます。 Alibaba Cloud は、ストレージおよび送信中に AccessKey ID と AccessKey Secret を暗号化します。 AccessKey ペアを使用してコンソールにログインすることはできません。 代わりに、API、CLI、SDK、Terraform などの開発ツールを介して Alibaba Cloud にプログラムでアクセスするために使用します。 これらのツールは、AccessKey ペアを使用してリクエストに署名し、ID とリクエストの有効性を検証します。 AccessKey ペアの作成方法の詳細については、「AccessKey ペアの作成」をご参照ください。 |
MFA | 多要素認証 (MFA) は、ユーザー名とパスワードに加えて保護レイヤーを追加する、シンプルで効果的なセキュリティのベストプラクティスです。 これらの要素を組み合わせることで、アカウントのセキュリティが向上します。 MFA を有効にすると、Alibaba Cloud にログインするときに 2 つのセキュリティ要素を入力する必要があります。
MFA の設定方法の詳細については、「MFA デバイスを RAM ユーザーにバインドする」をご参照ください。 |
RAM ユーザーグループ | ユーザーグループは、RAM のエンティティ ID タイプです。 ユーザーグループを使用して、同じ責任を持つ RAM ユーザーを分類し、権限を付与できます。 これにより、ユーザーとその権限をより適切に管理できます。
|
RAM ロール | RAM ロールは、一連のアクセスポリシーを付与できる仮想ユーザーです。 RAM ユーザーとは異なり、RAM ロールには、ログインパスワードや AccessKey ペアなどの永続的な認証情報はありません。 RAM ロールは、信頼できるエンティティによって引き受けられる必要があります。 信頼できるエンティティがロールを引き受けると、エンティティは一時的な認証情報であるセキュリティトークンサービス (STS) トークンを取得します。 その後、エンティティは STS トークンを使用して、RAM ロールとして承認されたリソースにアクセスできます。 RAM ロールは、信頼できるエンティティに基づいて次のタイプに分類されます。
|
サービスプロバイダー (SP) | ID プロバイダー (IdP) の ID 管理機能を使用して、ユーザーに特定のサービスを提供するアプリケーション。 SP は、IdP によって提供されるユーザー情報を使用します。 OpenID Connect (OIDC) などの一部の非 SAML ID システムでは、SP は IdP の依拠当事者とも呼ばれます。 |
ID プロバイダー (IdP) | 外部 ID プロバイダーのメタデータを含む RAM エンティティ。 ID プロバイダーは、ID 管理サービスを提供できます。
|
Security Assertion Markup Language 2.0 (SAML 2.0) | エンタープライズユーザーの身分認証のための標準プロトコル。 SP と IdP 間の通信を可能にする技術的実装の 1 つです。 SAML 2.0 は、エンタープライズ SSO を実装するためのデファクトスタンダードです。 |
SSO | Alibaba Cloud は、Security Assertion Markup Language 2.0 (SAML 2.0) および OpenID Connect (OIDC) に基づくシングルサインオン (SSO) をサポートしています。 SSO はフェデレーションログインとも呼ばれます。 Alibaba Cloud は、次の SSO メソッドを提供します。
|
メタデータファイル | メタデータファイルは、エンタープライズ IdP によって提供されます。 通常は XML フォーマットで、IdP のログインサービスエンドポイント、署名検証用の公開鍵、アサーションフォーマットなどの情報が含まれています。 |
SAML アサーション | 認証リクエストと応答を記述する SAML プロトコルのコア要素。 たとえば、ユーザーの特定のプロパティは、認証応答のアサーションに含まれます。 |
信頼 | SP と IdP の間に確立された相互信頼メカニズム。 通常、公開鍵と秘密鍵を使用して実装されます。 SP は、信頼できる方法で IdP の SAML メタデータを取得します。 メタデータには、IdP によって発行された SAML アサーションの署名を検証するために使用される公開鍵が含まれています。 SP はこの公開鍵を使用して、アサーションの整合性を検証します。 |
アクセスの制御の概念
概念 | 説明 |
権限 | 権限は、ユーザーがリソースに対して操作を実行できるかどうかを決定します。 権限は、Allow または Deny の文にすることができます。 操作は 2 つのカテゴリに分類されます。
|
アクセスポリシー | アクセスポリシーは、特定の構文を使用して記述された権限のセットです。 承認されたリソースセット、アクションセット、および条件を正確に定義できます。 アクセスポリシーは、一連の権限を記述するための単純な言語仕様です。 RAM でサポートされている言語仕様の詳細については、「ポリシーの構造と構文」をご参照ください。 RAM では、アクセスポリシーはリソースエンティティです。 RAM は、次の 2 種類のアクセスポリシーをサポートしています。
アクセスポリシーを RAM ユーザー、ユーザーグループ、または RAM ロールにアタッチすることで、ポリシーで指定されたアクセス権限を付与できます。 詳細については、「RAM ユーザーに権限を付与する」、「RAM ユーザーグループに権限を付与する」、および「RAM ロールに権限を付与する」をご参照ください。 |
プリンシパル | ポリシーで定義された権限を付与されるエンティティ。 プリンシパルは、RAM ユーザー、ユーザーグループ、または RAM ロールにすることができます。 |
効果 | アクセスポリシーの基本要素の 1 つ。 権限付与の効果を指定します。 有効な値: Allow と Deny。 |
操作 | アクセスポリシーの基本要素の 1 つ。 特定のリソースに対する操作を指定します。 値は、Alibaba Cloud サービスによって定義された API 操作の名前です。 |
条件 | アクセスポリシーの基本要素の 1 つ。 権限付与が有効になる条件を指定します。 |
リソース | リソースは、OSS バケットや ECS インスタンスなど、Alibaba Cloud サービスがユーザーとの対話のために提示するオブジェクトエンティティの抽象的な表現です。 |
ARN (Alibaba Cloud リソースネーム) | ARN は Alibaba Cloud リソースネームであり、Alibaba Cloud が各リソースに定義したグローバルに一意な名前です。 RAM の権限付与では、ARN フォーマットは
|