信頼された Alibaba Cloud アカウント向けの RAM ロールの作成 - Resource Access Management

信頼されたエンティティが Alibaba Cloud アカウントである RAM ロールにより、クロスアカウントアクセスと一時的な権限付与が可能になります。信頼されたアカウントの RAM ユーザーまたは RAM ロールは、このロールを引き受けることで、お客様のリソースにアクセスできます。

操作手順

RAM 管理者としてRAM コンソールにログインします。
左側メニューで、アイデンティティ > ロール を選択します。
ロール ページで、ロール作成 をクリックします。
ロール作成 ページで、信頼プリンシパルタイプ を アカウント に設定し、Alibaba Cloud アカウントの詳細を指定してから、OK をクリックします。
- 現在のアカウント：このオプションを選択すると、現在の Alibaba Cloud アカウント配下のすべての RAM ユーザーと RAM ロールが、このロールを引き受けられるようになります。現在のアカウント を選択します。
- 他のアカウント：このオプションを選択すると、別の Alibaba Cloud アカウントのすべての RAM ユーザーと RAM ロールが、このロールを引き受けられるようになります。他のアカウント を選択し、他の Alibaba Cloud アカウント (メインアカウント) の ID を入力します。これは主にクロスアカウントアクセスに使用されます。詳細については、「Alibaba Cloud アカウント間でのリソースアクセス」をご参照ください。Alibaba Cloud アカウント (メインアカウント) の ID は、[セキュリティ設定] ページで確認できます。
(オプション) 特定の RAM ユーザーまたは RAM ロールにロールを制限するには、エディターを切り替え をクリックして信頼ポリシーを変更します。

エディターは、ビジュアルエディターと JSON エディターの 2 つのモードをサポートしています。次の例では、RAM ロールは現在の Alibaba Cloud アカウント (AccountID=100******0719) 配下の RAM ユーザー Alice のみが引き受けることができます。
- ビジュアルエディター
  
  Principal セクションで、RAM ユーザーを追加します。
  
  [Cloud Account] の横にある [編集] リンクをクリックし、信頼されたアカウントの ID を入力します。
  
  [プリンシパルの追加] ダイアログボックスで、[Cloud Account] として [このアカウント] を、[アイデンティティタイプ] として [RAM ユーザー] を選択します。[ユーザー名] フィールドに対象のユーザー名 (例：Alice) を入力し、[OK] をクリックします。
- JSONエディター
  
  Principal オブジェクトの RAM フィールドに、RAM ユーザーの完全な ARN を入力します。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "RAM": "acs:ram::100******0719:user/Alice"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```
ロール作成 ダイアログボックスで、ロール名 を入力し、OK をクリックします。

次のステップ

RAM ロールに権限を付与します。

新規作成した RAM ロールには、デフォルトでは権限がありません。使用する前に、ロールに権限を付与する必要があります。手順については、「RAM ロールの権限管理」をご参照ください。
RAM ロールを使用します。

信頼されたアカウントのプリンシパルは、コンソールから、または API を呼び出すことによってこのロールを引き受け、一時的なセキュリティトークン (STS トークン) を取得して、認可されたリソースにアクセスできます。詳細な手順については、「RAM ロールの引き受け」をご参照ください。