Resource Access Management:AccessKey ペアの作成

AccessKey ペアとは

AccessKey ペアは、Alibaba Cloud がユーザーに提供する長期的なアクセス認証情報です。AccessKey ID と AccessKey Secret で構成されます。

• AccessKey ID：AccessKey ペアの一意の公開識別子です。

• AccessKey Secret：AccessKey ペアのシークレット部分です。API リクエストに署名し、リクエストの信頼性と完全性を検証するために使用されます。AccessKey Secret は厳重に機密情報として保管する必要があります。

AccessKey ペアのカテゴリ

AccessKey ペアは、Alibaba Cloud アカウントまたは RAM ユーザーのいずれかに属することができます。AccessKey ペアは、そのオーナーに基づいて分類されます：

• Alibaba Cloud アカウントの AccessKey ペア (非推奨)

  このタイプの AccessKey ペアは、Alibaba Cloud アカウントによって直接作成されます。デフォルトでは、アカウント配下のすべてのリソースに対する完全な権限を持ち、あらゆる操作を実行できます。ルートの AccessKey ペアが漏洩すると、非常に高いセキュリティリスクが生じます。Alibaba Cloud アカウントの AccessKey ペアを作成または使用しないことを強く推奨します。

• RAM ユーザーの AccessKey ペア (推奨)

  これは RAM ユーザー向けのプログラムによるアクセス認証情報です。ユーザーの AccessKey ペアを作成する前に、RAM ユーザーを作成する必要があります。RAM ユーザーの AccessKey ペアは、そのユーザーの権限を継承するため、最小権限でのアクセス管理が可能になります。独立したビジネスアプリケーションごとに、個別の RAM ユーザーと AccessKey ペアを割り当てることを推奨します。この方法により、過剰な権限の付与や、認証情報の共有による漏洩リスクの増大を防ぐことができます。

権限要件

Alibaba Cloud アカウントは過剰な権限を持っています。このため、本番環境で AccessKey ペアを作成するために使用することは避けるべきです。代わりに、Alibaba Cloud アカウントの AccessKey ペアを除き、AccessKey ペアを作成および管理するために必要な権限が付与された RAM ユーザーを使用してください。

• 管理者に AliyunRAMFullAccess システムポリシー (RAM 管理者) をアタッチすることで、RAM ユーザーの AccessKey ペアの作成と管理を許可できます。

• また、RAM のグローバルセキュリティ設定で [ユーザーに自身の AccessKey の管理を許可] オプションを有効にすることで、ユーザーが自身の AccessKey ペアを管理できるようにすることもできます。詳細については、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。

  説明

  この設定を有効にすると、すべての RAM ユーザーが自身の AccessKey ペアを管理できるようになります。これには、管理者がこれらの操作を明示的に拒否するポリシーをアタッチしない限り、AccessKey ペアの作成、無効化、削除などのすべての関連操作が含まれます。

  本番環境でこの設定を有効にすることは推奨しません。特定のユーザーに自身の AccessKey ペアの管理を許可するには、カスタムポリシーを使用し、Resource をそのユーザーに限定することを推奨します。以下のサンプルポリシーをご参照ください：

  ユーザー自身による AccessKey ペアの作成許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  ユーザー自身による AccessKey ペアの管理許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

RAM ユーザーの AccessKey ペアの作成

RAM 管理者 (AliyunRAMFullAccess) は、以下の操作を実行できます。アカウントに RAM ユーザーがいない場合は、「RAM ユーザーの作成」をご参照ください。

Alibaba Cloud アカウントの AccessKey ペアの作成 (非推奨)

1. Alibaba Cloud アカウントで Alibaba Cloud マネジメントコンソールにログインします。

2. 右上のプロフィール画像にカーソルを合わせ、[AccessKey の管理] をクリックします。

   

3. [Alibaba Cloud アカウントの AccessKey の使用は推奨されません] ダイアログボックスで、Alibaba Cloud アカウントの AccessKey ペアを作成するリスクを確認します。続行するには、[Alibaba Cloud アカウントの AccessKey を使用する際のセキュリティリスクを理解しました] を選択し、[Alibaba Cloud アカウントの AccessKey の使用を続行] をクリックします。

   

4. [AccessKey の管理] ページで、[AccessKey の作成] をクリックします。

   

   説明

   Alibaba Cloud アカウントは最大 2 つの AccessKey ペアを持つことができます。1 つは通常使用のため、もう 1 つは古いものを置き換えるためのローテーション用に作成されます。

5. [Alibaba Cloud アカウントの AccessKey の作成] ダイアログボックスで、セキュリティリスクと制限を再度確認します。AccessKey ペアを作成するには、[Alibaba Cloud アカウントの AccessKey を使用する際のセキュリティリスクを理解しました] を選択し、[Alibaba Cloud アカウントの AccessKey の使用を続行] をクリックします。

   

6. [AccessKey の作成] ダイアログボックスで、AccessKey ID と AccessKey Secret を保存し、[AccessKey Secret を保存しました] を選択してから、[OK] をクリックします。

   AccessKey ペアのネットワークアクセス制限ポリシーの設定 (推奨)：AccessKey ペアを使用する API リクエストのソース IP アドレスを制限できます。これにより、AccessKey ペアへのアクセスを信頼できるネットワーク環境に限定し、セキュリティを向上させます。AccessKey ペアが使用されるネットワーク環境を特定し、[ネットワークアクセスポリシーの設定] をクリックすることを推奨します。詳細については、「Alibaba Cloud アカウントの AccessKey レベルのネットワークアクセス制限ポリシーの設定」をご参照ください。

   

   重要

   漏洩のリスクを低減するため、Alibaba Cloud アカウントの AccessKey Secret は作成時に一度しか表示されません。後から取得することはできません。必ず安全な場所に保管してください。