Alibaba Cloud サービスを信頼済みエンティティとする RAM ロールの作成 - Resource Access Management

Alibaba Cloud サービスを信頼されたエンティティとする RAM ロールは、サービス間のアクセスを許可します。信頼された Alibaba Cloud サービスは、このタイプのロールを引き受けることができます。

サービスロールのタイプ

標準サービスロール：カスタムロール名を指定し、信頼済みの Alibaba Cloud サービスを選択して、カスタム許可ポリシーをアタッチします。
サービスリンクロール：信頼済みの Alibaba Cloud サービスを選択するだけです。サービスが事前設定されたロール名と許可ポリシーを提供します。サービスリンクロールは通常、クラウドリソースの作成や機能の有効化など、特定のアクションを実行したときに自動的に作成されます。RAM コンソールで手動で作成することもできます。サービスリンクロールの詳細については、「サービスリンクロール」をご参照ください。

標準サービスロールの作成

RAM 管理者としてRAM コンソールにログインします。
左側のナビゲーションペインで、アイデンティティ > ロール を選択します。
ロール ページで、ロール作成 をクリックします。
ロール作成 ページで、信頼プリンシパルタイプ を クラウドサービス に設定し、特定の Alibaba Cloud サービスを選択してから、OK をクリックします。

説明
利用可能なサービスは、コンソールの 信頼プリンシパル名 ドロップダウンリストに表示されます。
(オプション) 別のクラウドアカウントまたは複数の Alibaba Cloud サービスからのアクセスを信頼する必要がある場合は、エディターを切り替え をクリックしてサービスを指定します。

エディターには、ビジュアルエディターと JSON エディターの 2 つのモードがあります。次の例は、別のクラウドアカウント (ID: 177*******6878) の ActionTrail サービスがこの RAM ロールを引き受け、お客様のアカウントで操作を実行できるようにする方法を示しています。
- ビジュアルエディター
  
  Principal セクションで、Alibaba Cloud サービスを指定します。
  
  [プリンシパルタイプ] を [クラウドサービス] に設定します。次に、表示される [クラウドサービス] フィールドの横にある [編集] をクリックして、サービスを指定します。
  
  [プリンシパルの追加] ダイアログボックスで、[クラウドアカウント] で [その他のアカウント] を選択し、対象のクラウドアカウント ID を入力します。[クラウドサービス] では、[ActionTrail actiontrail.aliyuncs.com] などの対象サービスを選択してから、[OK] をクリックします。
- JSON エディター
  
  Principal の Service フィールドに Alibaba Cloud サービスを指定します。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "177*******6878@actiontrail.aliyuncs.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```
ロール作成 ダイアログボックスで、ロール名 を入力してから、OK をクリックします。

デフォルトでは、新規作成された RAM ロールに権限は付与されていません。RAM ロールに権限を付与する必要があります。詳細については、「RAM ロールへの権限の付与」をご参照ください。

サービスリンクロールの作成

RAM 管理者としてRAM コンソールにログインします。
左側のナビゲーションペインで、アイデンティティ > ロール を選択します。
ロール ページで、ロール作成 をクリックします。
ロール作成 ページの右上隅で、サービスリンクロールを作成 をクリックします。
サービスリンクロールを作成 ページで、信頼されたサービスを選択してから、サービスリンクロールを作成 をクリックします。

[信頼済みサービス] では [Tag] を選択します。プレビュー情報には、ロール名が AliyunServiceRoleForTag で、許可ポリシー名が AliyunServiceRolePolicyForTag であることが表示されます。

説明
利用可能なサービスは、コンソールの 信頼するクラウドサービス ドロップダウンリストに表示されます。

サービスリンクロールには、事前設定されたロール名と許可ポリシーが含まれているため、すぐに使用できます。対応するクラウドサービスが許可ポリシーを定義します。