AccessKey ペア (AK) は、Alibaba Cloud API を呼び出す際の認証に使用される認証情報です。セキュリティインシデントの事例から、AK が侵害されると、攻撃者が関連するアカウントを迅速に乗っ取り、クラウドワークロードを中断させ、過剰な料金やデータ侵害を引き起こす可能性があることがわかっています。クラウド資産を保護するため、Alibaba Cloud は侵害の兆候が検出された AK に対して制限付き保護を適用し、さらなる被害を防止します。
AK 制限付き保護の症状
直接的な API 呼び出しや、CLI、SDK、Terraform などの開発者ツールを通じて Alibaba Cloud にアクセスする際に、次のエラーメッセージが表示される場合、認証に使用された AK が制限付き保護下にあることを示します。
Forbidden : There is a risk of leakage of this AccessKey.AK 制限付き保護の範囲
AK 制限付き保護は、ソース IP アドレスやアクセス方法に関係なく、選択された高リスク API 操作に適用されます。制限対象の API 操作のリストは変更される可能性があります。現在のリストについては、「制限対象の API 操作」をご参照ください。
AK 制限付き保護の解除
AK は作成後に変更できないため、侵害された AK は削除またはローテーションされるまでリスクをもたらし続けます。このため、制限付き保護を解除することはできません。
制限対象の API リストは限られた操作のみを対象としています。攻撃者は侵害された AK を使用して、保護リスト外の API 操作を呼び出し、クラウドワークロードに影響を与える可能性があります。したがって、制限付き保護は一時的な措置です。「AccessKey 漏洩対応計画」の手順に従って、AK を削除またはローテーションし、リスクを修復してください。
このプロセス中にサポートが必要な場合、または制限的な保護措置にご同意いただけない場合は、緊急対応ページに移動して [サポートに連絡] をクリックしてください。
制限付き保護の発動を回避する方法
AccessKey (AK) ペアの作成後、ネットワークアクセス制限ポリシーを設定して、API 呼び出しの送信元を信頼できる IP アドレスに制限します。
ネットワークアクセス制限ポリシーの設定
-
RAM コンソールのユーザー詳細ページで、[認証情報] タブをクリックします。
-
AccessKey ペアセクションで、対象の AK の [操作] 列にある [ネットワークアクセス制限ポリシー] をクリックします。
-
ポリシーを有効にし、パブリックアクセス ポリシーを追加して、信頼できるソース IP アドレスを入力します。
-
AccessKey ID を入力して変更を確認し、送信します。
パブリックアクセス ポリシーまたは VPC アクセスポリシーを設定しない場合、対応するネットワークタイプのすべてのアクセスがデフォルトでブロックされます。
ネットワークアクセス制限ポリシーには 2 つのタイプがあります。ソース IP アドレスを制限するパブリックアクセス ポリシーと、VPC とソース IP アドレスの両方を制限する VPC アクセスポリシーです。
AccessKey ペアのローテーション
-
[認証情報] タブで、[AccessKey の作成] をクリックします。
-
使用シナリオを選択し、多要素認証 (MFA) 検証を完了して、新しい AccessKey ペアを作成します。
-
アプリケーションを更新して新しい AccessKey ペアを使用します。アプリケーションが期待どおりに動作することを確認した後、古い AccessKey ペアを無効化して削除します。
詳細な手順については、「RAM ユーザーの AccessKey ペアのローテーション」をご参照ください。
制限対象の API 操作
|
サービス |
API バージョン |
API |
説明 |
|
Resource Access Management (RAM) |
2015-05-01 |
すべて |
該当なし |
|
Identity Management Service (IMS) |
2019-08-15 |
すべて |
該当なし |
|
CloudSSO |
2021-05-15 |
EnableService |
CloudSSO を有効化 |
|
Elastic Compute Service (ECS) |
2014-05-26 |
RunInstances |
1 つ以上の従量課金またはサブスクリプション ECS インスタンスを作成 |
|
CreateInstance |
サブスクリプションまたは従量課金 ECS インスタンスを作成 |
||
|
CreateAutoProvisioningGroup |
自動プロビジョニンググループを作成 |
||
|
StartInstance |
インスタンスを起動 |
||
|
StartInstances |
インスタンスを起動 |
||
|
RunCommand |
インスタンスでスクリプトを実行 |
||
|
DeleteInstance |
ECS インスタンスを削除 |
||
|
DeleteInstances |
ECS インスタンスを一括削除 |
||
|
DeleteSnapshotGroup |
スナップショットグループを削除 |
||
|
DeleteSnapshot |
スナップショットを削除 |
||
|
DeleteImage |
カスタムイメージを削除 |
||
|
CreateCommand |
Cloud Assistant コマンドを作成 |
||
|
InvokeCommand |
1 つ以上の ECS インスタンスで Cloud Assistant コマンドを実行 |
||
|
Elastic Container Instance (ECI) |
2018-08-08 |
CreateContainerGroup |
コンテナグループを作成 |
|
BatchCreateContainerGroups |
コンテナグループを一括作成 |
||
|
DeleteContainerGroup |
コンテナグループを削除 |
||
|
DeleteContainerGroups |
コンテナグループを一括削除 |
||
|
Short Message Service (SMS) |
2017-05-25 |
AddSmsTemplate |
SMS テンプレートを申請 |
|
SendSms |
SMS メッセージを送信 |
||
|
SendBatchSms |
SMS メッセージを一括送信 |
||
|
CreateSmsTemplate |
SMS テンプレートを申請 |
||
|
Elastic Desktop Service (EDS) |
2020-09-30 |
StartDesktops |
クラウドデスクトップを起動 |
|
CreateDesktops |
クラウドデスクトップを作成 |
||
|
CreateDesktopGroup |
デスクトップグループを作成 |
||
|
ModifyDesktopGroup |
デスクトップグループを変更 |
||
|
RebootDesktops |
クラウドデスクトップを再起動 |
||
|
RebuildDesktops |
クラウドデスクトップのイメージを変更 |
||
|
GetConnectionTicket |
クラウドデスクトップに接続 |
||
|
ModifyDesktopSpec |
クラウドデスクトップのスペックを変更 |
||
|
RunCommand |
クラウドデスクトップでリモートコマンドを実行 |
||
|
Performance Testing Service (PTS) |
2019-08-10 |
StartJMeterTesting |
JMeter テストを開始 |
|
SaveJMeterScene |
JMeter シーンを保存 |
||
|
CreateJMeterScene |
JMeter シーンを作成 |
||
|
CreateCronJob |
スケジュールされた負荷テストを作成 |
||
|
StartSceneTesting |
負荷テストを開始 |
||
|
StartDebugging |
デバッグタスクを開始 |
||
|
CreateScene |
シーンを作成 |
||
|
SaveScene |
シーンを保存 |
||
|
Performance Testing Service (PTS) |
2020-10-20 |
SaveOpenJMeterScene |
シーンを保存 |
|
StartDebuggingJMeterScene |
シーンをデバッグ |
||
|
StartTestingJMeterScene |
シーンで負荷テストを実行 |
||
|
SavePtsScene |
シーンを保存または変更 |
||
|
CreatePtsScene |
シーンを作成 |
||
|
StartDebugPtsScene |
シーンをデバッグ |
||
|
StartPtsScene |
シーンを開始 |
||
|
ApsaraDB RDS for MySQL |
2014-08-15 |
ModifyBackupPolicy |
インスタンスのバックアップポリシーを変更 |
|
DeleteBackup |
インスタンスのバックアップファイルを削除 |
||
|
DescribeBackups |
RDS インスタンスのバックアップセットを照会 |
||
|
DeleteDBInstance |
RDS インスタンスを解放 |
||
|
DestroyDBInstance |
インスタンスを破棄 |
||
|
DeleteDatabase |
データベースを削除 |
||
|
CreateAccount |
データベースアカウントを作成 |
||
|
ResetAccountPassword |
データベースアカウントのパスワードをリセット |
||
|
ResetAccount |
特権アカウントの権限をリセット |
||
|
GrantAccountPrivilege |
アカウントにデータベースアクセス権限を付与 |
||
|
Database Disaster Recovery (DBS) |
2021-01-01 |
ModifyBackupStrategy |
バックアップスケジュールを変更 |
|
CreateDownload |
ダウンロードタスクを作成 |
||
|
DescribeDownloadBackupSetStorageInfo |
ダウンロード可能なバックアップセットのストレージ情報を照会 |
||
|
Alibaba Cloud DNS |
2015-01-09 |
DeleteDomain |
ドメイン名を削除 |
|
AddDomainRecord |
DNS レコードを追加 |
||
|
DeleteDomainRecord |
DNS レコードを削除 |
||
|
UpdateDomainRecord |
DNS レコードを変更 |
||
|
SetDomainRecordStatus |
DNS レコードのステータスを設定 |
||
|
Alibaba Cloud Billing |
2017-12-14 |
RefundInstance |
インスタンスを解約 |
|
Instant Computing Service |
2023-07-01 |
CreateJob |
E-HPC Instant ジョブを作成 |
|
CreatePool |
リソースプールを作成 |
||
|
Elastic High Performance Computing (E-HPC) |
2024-07-30 |
CreateCluster |
クラスターを作成 |
|
CreateNodes |
コンピュートノードを一括作成 |
||
|
Data Management (DMS) |
2018-11-01 |
CreateOrder |
チケットを作成 |
|
CreateDataExportOrder |
SQL 結果セットエクスポートチケットを作成 |
||
|
CreateDatabaseExportOrder |
データベースエクスポートチケットを作成 |
||
|
CreateDataCorrectOrder |
通常のデータ変更チケットを作成 |
||
|
CreateDataCronClearOrder |
履歴データクリーンアップチケットを作成 |
||
|
CreateDataImportOrder |
データインポートチケットを作成 |
||
|
CreateFreeLockCorrectOrder |
ロックフリー変更チケットを作成 |
||
|
GetDataExportDownloadURL |
データエクスポート結果のダウンロード URL を取得 |
||
|
GetDbExportDownloadURL |
データベースエクスポート結果のダウンロード URL を取得 |
||
|
CreateProcCorrectOrder |
プログラマブルオブジェクト変更チケットを作成 |