Resource Access Management:RAM ロールの引き受け

コンソールでの RAM ロールの引き受け

RAM ユーザーとして、またはロールベース SSO を通じてコンソールにログインした後、ID を切り替えることで RAM ロールを引き受けることができます。

操作手順1. RAM ユーザーとして、またはロールベース SSO を通じて ​RAM コンソールにログインします。

2. 右上隅のプロフィール画像にポインターを合わせ、[ID の切り替え] をクリックします。

3. [ロールの切り替え] ページで、引き受けたい RAM ロールの情報を入力します。

   a. アカウントエイリアス/デフォルトドメイン名/Alibaba Cloud アカウント ID：RAM ロールを所有するアカウントのアカウントエイリアス、デフォルトドメイン名、または Alibaba Cloud アカウント ID のいずれかを入力します。クロスアカウントで切り替える場合は、対象アカウントの Alibaba Cloud アカウント ID を入力します。

   b. ロール名：引き受けたい RAM ロールの名前。管理者に問い合わせるか、RAM コンソールの [ID 管理] > [ロール] ページで確認してください。

4. [送信] をクリックします。

   ID が切り替わると、RAM ロールとしてコンソールを操作します。コンソールの右上隅にあるプロフィール画像エリアには、現在の ID とログイン ID (元の ID) が表示されます。パネルには、現在の ID タイプを識別するための RAM ロール ラベルが含まれています。下部には、[ログイン ID に戻る] ボタンと [サインアウト] ボタンがあります。

5. (任意) 元のログイン ID に戻るには、コンソールの右上隅にあるプロフィール画像にポインターを合わせ、[ログイン ID に戻る] をクリックします。切り替え後、RAM ロールの権限は無効になり、元の ID の権限が復元されます。

   以下の表は、ログイン ID と現在の ID の表示形式を説明しています。

フィールドの説明

• RoleName：現在引き受けているロールの名前。

• RoleSessionName：セッション名。RAM ユーザーがログインした場合は RAM ユーザー名です。ロールベース SSO ログインでは、IdP によって提供され、ID を切り替えても変更されません。

例

ユーザー Tom (UPN: tom@example.com、UPN はユーザープリンシパル名) が、ロールベース SSO を通じてロール test-saml-role1 としてコンソールにログインし、その後ロール alice-testrole に切り替えます。RoleSessionName がユーザーの UPN であると仮定すると、ログイン ID と現在の ID は次のようになります。

• ログイン ID： test-saml-role1/tom@example.com

• 現在の ID： alice-testrole/tom@example.com

API オペレーションの呼び出しによる RAM ロールの引き受け

STS のオペレーションを呼び出して RAM ロールを引き受け、引き受けたロールの STS トークンを取得できます。プログラムやサービスが STS トークンを使用して Alibaba Cloud リソースにアクセスすると、引き受けたロールの権限の範囲内で操作を実行できます。

ロール引き受けオペレーション

以下の表は、STS のロール引き受けオペレーションを説明しています。呼び出し元の認証情報または ID フェデレーションの方法に基づいてオペレーションを選択してください。

上記のオペレーションを呼び出す際には、RoleArn パラメーターを使用して、引き受けたい RAM ロールを指定する必要があります。ARN のフォーマットは acs:ram::<Alibaba Cloud アカウント ID>:role/<ロール名> です。

また、Policy パラメーター (セッションポリシー) を渡して、現在のロールセッション内で引き受けたロールの権限をさらに制限することもできます。

必要な権限

必要な権限は、ロールの引き受けに使用するオペレーションによって異なります。

• AssumeRole オペレーションを使用する場合、呼び出し元には sts:AssumeRole オペレーションの権限が付与されている必要があります。例えば、AliyunSTSAssumeRoleAccess システムポリシーを呼び出し元にアタッチできます。

• AssumeRoleWithSAML または AssumeRoleWithOIDC オペレーションを使用する場合、対象の RAM ロールの信頼ポリシーで信頼できる SAML または OIDC IdP を正しく設定するだけで済みます。外部 ID に RAM アクセスポリシーを別途割り当てる必要はありません。

  Alibaba Cloud SDK を使用してロール引き受けオペレーションを呼び出し、RAM ロールを引き受けることができます。サンプルコードについては、「AccessKey ペアと RamRoleArn を使用して STS トークンを取得する (Python SDK)」などの関連 SDK ドキュメントをご参照ください。

STS トークンが機能することを確認するには、それを使用して STS の GetCallerIdentity オペレーションを呼び出します。応答には、引き受けたロールの ARN が含まれます。

Alibaba Cloud CLI を使用した RAM ロールの引き受け

以下の例は、Alibaba Cloud CLI を使用して RAM ロール admin-role を引き受け、そのロールとして管理タスクを完了する方法を示しています。

1. Alibaba Cloud CLI の認証情報を設定します。この例では、RAM ユーザーの AccessKey ペアを認証方式として使用してロールの引き受けを完了する RamRoleArn モードを使用します。

   aliyun configure --profile RamRoleArnProfile --mode RamRoleArn

2. プロンプトに従って、AccessKey ID、AccessKey Secret、引き受けたいロールの ARN、ロールセッション名、その他の情報を入力します。パラメーターと使用方法の詳細については、「Alibaba Cloud CLI の認証情報の設定」をご参照ください。

   Configuring profile 'RamRoleArnProfile' in 'RamRoleArn' authenticate mode...
   Access Key Id []: <yourAccessKeyID>
   Access Key Secret []: <yourAccessKeySecret>
   Sts Region []: cn-shanghai
   Ram Role Arn []: acs:ram::012345678910****:role/admin-role
   Role Session Name []: user-name
   External ID []: abcd1234
   Expired Seconds [900]: 900
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] en: en
   Saving profile[RamRoleArnProfile] ...Done.

   Expired Seconds は、CLI プロンプトに表示されるデフォルト値の 900 秒 (15 分) を維持します。この値は、AssumeRole* オペレーションの DurationSeconds パラメーターのデフォルト値 (3,600 秒) とは異なります。

3. 認証が完了したら、プロファイルを使用して必要なコマンドを実行します。コマンドの実行に使用される ID は、AccessKey ペアを所有する RAM ユーザーではなく、引き受けた RAM ロール admin-role です。

   aliyun ram ListUsers --profile RamRoleArnProfile

   aliyun sts GetCallerIdentity --profile RamRoleArnProfile。応答には、引き受けたロールの ARN が含まれます。
   引き受けたロールとして別の RAM ロールを引き受けるには、「ロールチェーン」をご参照ください。