クラウドリソースへのアクセスに MFA を必須にする - Resource Access Management

このトピックでは、Resource Access Management (RAM) を使用して、RAM ユーザーが Elastic Compute Service (ECS) などのクラウドリソースにアクセスする際に、多要素認証 (MFA) を必須にする方法について説明します。

前提条件

カスタムポリシーを作成する前に、権限ポリシー言語の基本要素と構文を理解しておく必要があります。詳細については、「権限ポリシーの基本要素」および「ポリシーの構造と構文」をご参照ください。
モバイルデバイスにGoogle Authenticator アプリをダウンロードしてインストールしてください。アプリのダウンロード方法は次のとおりです。
- iOS の場合：App Store でGoogle Authenticator を検索してください。
- Android の場合：お好みのアプリストアでGoogle Authenticator を検索してください。
  説明
  Android 版の Google Authenticator アプリでは、QR コードをスキャンするために別途バーコードスキャナーが必要です。アプリストアからバーコードスキャナーアプリもインストールする必要があります。

ステップ1：カスタムポリシーの作成

RAM 管理者として RAM コンソールにログインします。
左側のナビゲーションウィンドウで、権限管理 > Policies を選択します。
Policies ページで、ポリシーの作成 をクリックします。
ポリシーの作成 ページで、JSON タブをクリックします。
ポリシードキュメントを入力してください。
ポリシーの例：MFA が有効になっている RAM ユーザーのみが、コンソールで ECS リソースにアクセスできるようにします。これを実現するには、Condition 要素を使用して、acs:MFAPresent の値を true に設定します。
```
{
    "Statement": [
        {
            "Action": "ecs:*",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent": "true"
                }
            }
        }
    ],
    "Version": "1"
}
```
説明
Condition 要素は、この権限ポリシーで指定されたアクションにのみ適用されます。必要に応じて、ポリシードキュメントを変更して、他のクラウドリソースへのアクセスを制限できます。
ページ上部の 最適化 をクリックし、次に行うをクリックしてポリシーを最適化します。
高度なポリシー最適化機能は、以下のタスクを実行します。
- 互換性のない操作に対してリソースまたは条件を分割する。
- リソースの範囲を狭める。
- 重複する文を削除するか、文をマージする。
ポリシーの作成 ページで、OK をクリックします。
ポリシーの作成 ダイアログボックスで、policy name と description を入力し、OK をクリックします。

ステップ2：RAM ユーザーの作成

Alibaba Cloud アカウントまたは RAM 管理者アカウント (ポリシー AliyunRAMFullAccess など) を使用して、RAM コンソールにログインします。
左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択します。
ユーザー ページで、ユーザーの作成 をクリックします。
ユーザーの作成 ページの ユーザーアカウント情報 セクションで、ユーザーの基本情報を設定します。
- ログイン名 (必須)：ログイン名は、英字、数字、ピリオド (.)、ハイフン (-)、アンダースコア (_) を使用できます。長さは 64 文字までです。
- [表示名] (任意)：表示名は 128 文字までです。
- [タグ] (任意)：アイコンをクリックし、タグキーとタグ値を入力します。タグは、RAM ユーザーの分類と管理に役立ちます。
説明
ユーザーの追加 をクリックすると、複数の RAM ユーザーを同時に作成できます。
アクセスモード セクションで、ユーザータイプに基づいてアクセスモードを選択します。
重要
- セキュリティのベストプラクティスとして、ユーザーごとに 1 つのアクセスモードのみを選択することを推奨します。これにより、コンソールアクセスが必要な人間のユーザーと、プログラムによるアクセスが必要なアプリケーションが明確に分離されます。
- AccessKey ペアは、プログラムによるアクセスのための長期的な認証情報です。AccessKey が漏洩すると、アカウント内のすべてのリソースのセキュリティが危険にさらされます。認証情報の漏洩リスクを低減するために、セキュリティトークンサービス (STS) トークンを一時的な認証情報として使用することを推奨します。詳細については、「アクセス認証情報を使用した API 操作の呼び出しに関するベストプラクティス」をご参照ください。
コンソールアクセス
人間のユーザー (従業員など) の場合は、コンソールへのアクセス を選択します。
- ログインパスワードの設定：次のいずれかのパスワードオプションを選択します。
  - デフォルトパスワードを自動的に再生成
  - [カスタムパスワードをリセット]。カスタムパスワードは、パスワードの複雑さの要件を満たす必要があります。
    詳細については、「RAM ユーザーのパスワードポリシーの設定」をご参照ください。
- パスワードのリセット：RAM ユーザーが次回のログイン時にパスワードをリセットする必要があるかどうかを指定します。
- MFA の有効化：デフォルトでは、ログインに多要素認証 (MFA) が必要です。この設定を変更するには、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。RAM ユーザーは、最初のログイン時に MFA デバイスをバインドする必要があります。詳細については、「RAM ユーザーへの MFA デバイスのバインド」をご参照ください。
プログラムによるアクセス
アプリケーションまたはシステムの場合は、[永続的な AccessKey を使用したアクセス] を選択します。
このオプションを有効にすると、システムは RAM ユーザーの AccessKey ID と AccessKey Secret を自動的に作成します。
重要
AccessKey Secret は作成時に一度しか表示されず、後で取得することはできません。これは、シークレットを表示して保存する唯一の機会です。ただちにコピーして安全な場所に保存するか、[CSV ファイルのダウンロード] をクリックしてファイルをダウンロードする必要があります。AccessKey ペアが漏洩すると、アカウント内のすべてのリソースのセキュリティが危険にさらされます。詳細については、「AccessKey ペアの作成」をご参照ください。

ステップ3：権限の付与

ステップ 1で作成したカスタムポリシーを、ステップ 2で作成した RAM ユーザーに付与します。

RAM コンソールにログインします。
左側のナビゲーションウィンドウで、Identities > Users を選択します。
ユーザー ページで、対象の RAM ユーザーを見つけ、Actions 列 > Attach Policy をクリックします。

複数の RAM ユーザーを選択し、ユーザー一覧の下にある Attach Policy をクリックして、バッチで権限を付与することもできます。
Grant Permission パネルで、以下の設定を行います。
- Resource scope：
  - Account level：権限はご利用の Alibaba Cloud アカウント内のすべてのリソースに適用されます。
  - Resource group level：権限は指定されたリソースグループ内でのみ適用されます。RAM ユーザーは、コンソールにログイン後に上部のナビゲーションバーで承認されたリソースグループに切り替える必要があります。
    説明
    
    AdministratorAccess や AliyunRAMFullAccess などの高リスクのシステムポリシーには、警告インジケーターが付与されます。これらのポリシーは通常、すべてのクラウドリソースに対する完全制御または RAM の完全管理を許可します。これらのポリシーの付与には十分注意してください。
    
    リソースグループによる権限付与の例については、「Control access to ECS instances with resource groups」をご参照ください。
- Principal：
  
  プリンシパルとは、権限を受ける RAM ユーザーです。Users ページから開始した場合、現在の RAM ユーザーが自動的に選択されます。Grants ページから開始した場合、RAM ユーザーを手動で選択する必要があります。バッチ選択もサポートされています。
- Permission policy：
  - System policy：直接検索して選択します。検索ボックスを使用して、プロダクト名（例：ECS、OSS）、アクセスレベル（例：ReadOnly、FullAccess）、または完全なポリシー名でフィルターできます。
  - Custom policy：権限を付与する前に、「Create a custom policy」でカスタムポリシーを作成する必要があります。
- （オプション）Description：監査目的で、権限付与の理由またはシナリオを入力します。
- Confirm をクリックします。
権限付与結果を確認し、Close をクリックします。

ステップ4：MFA の有効化

ステップ 2 で作成した RAM ユーザーの MFA を有効化します。詳細については、「RAM ユーザーの MFA デバイスをバインドする」をご参照ください。

前提条件

ステップ1：カスタムポリシーの作成

ステップ2：RAM ユーザーの作成

コンソールアクセス

プログラムによるアクセス

ステップ3：権限の付与

ステップ4：MFA の有効化