Resource Access Management:RAM ユーザーの無効化または削除

削除前の最終チェックリスト

ユーザーを削除する前に、以下のチェックを完了してください。

• AccessKey アクティビティの確認：

  • RAM コンソールで、ユーザーの詳細ページに移動し、AccessKey タブをクリックして、AccessKey の 最後に使用したサービス / 時間 を確認します。

  • 詳細については、ActionTrail コンソールにログインします。AccessKey ペアの監査 タブで、対象の AccessKey ID で検索し、ユーザーの AccessKey に関連する最近の API 呼び出しがないことを確認します。

• コンソールログインアクティビティの確認：

  • RAM コンソールで、ユーザーの詳細ページに移動し、認証管理 タブをクリックして、Last Logined Time を確認します。

  • 詳細については、Events タブを確認するか、ActionTrail コンソールにログオンしてください。[イベントクエリ] タブで、[オペレーター名] にターゲット RAM ユーザーのユーザー名を設定してフィルターし、そのユーザーの最近のコンソール操作レコードがないことを確認します。

• サービス依存関係の確認：

  • Container Service for Kubernetes (ACK) の kubeconfig など、他の認証情報を要求するために RAM ユーザーを使用しているクラウドサービスがないか確認します。

  • DataWorks や MaxCompute などのビッグデータサービス内のタスクのように、RAM ユーザーとして実行されるタスクがないか確認します。

  • RAM コンソールで、ユーザーの詳細ページに移動します。Policy Access Beta タブで、ユーザーがアクセスを許可されているサービスと Last Accessed At を確認します。詳細については、「権限監査の概要」をご参照ください。

• ユーザー情報のバックアップ (任意)：ユーザーを復元しても、権限設定は復元されません。削除する前に、API またはスクリプトを使用して、ユーザーのポリシーと所属ユーザーグループをエクスポートすることを推奨します。

ベストプラクティス：削除前の無効化

ユーザーがまだ使用されているかどうかが不明な場合は、まずユーザーのアクセス認証情報を無効化し、一定期間様子を見ます。ワークロードが安定している場合は、削除に進みます。これは、オフボーディングやアプリケーションの廃止において最も安全なアプローチです。

1. ユーザーの一時的な無効化：

   • コンソールログインの無効化：ユーザーの詳細ページで、認証管理 タブをクリックします。Login Profile セクションで、ログイン設定の変更 をクリックし、コンソールへのアクセス を 無効 に設定します。

   • AccessKey の無効化：ユーザーの詳細ページで、AccessKey タブをクリックし、すべての AccessKey のステータスを [無効] に設定します。この時点で、ユーザーはログインも API 呼び出しもできなくなりますが、アイデンティティと権限設定は保持されるため、いつでも簡単に再アクティブ化できます。

2. ワークロードの監視：ユーザーを一定期間無効化したままにします。ワークロードに支障が出ないことを確認するため、少なくとも 7 日から 15 日間を推奨します。

3. ユーザーの削除：観察期間後、ユーザーを安全に削除できることを確認したら、削除手順に進みます。

1. RAM ユーザーをごみ箱に移動する

この操作により、ユーザーは無効化され、ごみ箱に移動します。これにより、自動完全削除までの 30 日間のカウントダウンが開始されます。ユーザーがごみ箱に移動されると、コンソールログイン、API 呼び出し (AccessKey)、すべての権限、MFA デバイスは無効化または削除されます。

2. ごみ箱内のユーザーの管理

ごみ箱内のユーザーを表示、復元、または完全削除できます。