Resource Access Management:RAM ユーザーの無効化または削除

削除前の最終チェックリスト

ユーザーを削除する前に、以下の項目を確認してください。

• アクセスキーのアクティビティの確認：

  • RAM コンソールで、ユーザーの詳細ページに移動し、[認証情報] タブをクリックして、アクセスキーの 最後に使用したサービス / 時間 を表示します。

  • または、ActionTrail コンソールにログインすることもできます。AccessKey ペアの監査 タブで、アクセスキー ID で検索し、ユーザーのアクセスキーに関連する最近の API 呼び出しがないことを確認してください。

• コンソールログインアクティビティの確認：

  • RAM コンソールで、ユーザーの詳細ページに移動し、認証管理 タブをクリックして、最終ログイン時刻 を確認してください。

  • また、操作記録 タブを確認するか、ActionTrail コンソールにログインすることもできます。[イベントクエリ] タブで、[操作者名] に RAM ユーザーのユーザー名を使用してフィルタリングすることで、このユーザーによる最近のコンソール操作がないことを確認できます。

• サービス依存関係の確認：

  • ACK の kubeconfig など、RAM ユーザーが他の認証情報を要求するためにクラウドサービスで使用されていないか確認してください。

  • DataWorks や MaxCompute などのビッグデータサービスのタスクなど、RAM ユーザーとして実行されるタスクがないか確認してください。

  • RAM コンソールで、ユーザーの詳細ページに移動します。権限監査 Beta タブで、ユーザーがアクセスを許可されているサービスと 最終アクセス日時 を確認してください。権限監査の概要。

• ユーザー情報のバックアップ (任意)：ユーザーを復元しても権限は復元されません。削除する前に、API またはスクリプト経由でユーザーのポリシーとグループメンバーシップをエクスポートすることを推奨します。

ベストプラクティス：削除前の無効化

ユーザーがまだ使用中かどうかが不明な場合は、まずそのユーザーのアクセス認証情報を無効にして様子を見ます。ワークロードが安定している場合は、削除に進みます。このアプローチは、従業員のオフボーディングやアプリケーションのデコミッショニングに推奨されます。

1. ユーザーの一時的な無効化：

   • コンソールログインの無効化：ユーザーの詳細ページで、認証管理 タブをクリックします。ログイン情報 セクションで、ログイン設定の変更 をクリックし、コンソールへのアクセス を 無効 に設定します。

   • アクセスキーの無効化：ユーザーの詳細ページで、[認証情報] タブをクリックし、すべてのアクセスキーを [無効] に設定します。これにより、ユーザーはログインしたり API 呼び出しを行ったりできなくなりますが、ID と権限設定は保持されるため、簡単に再アクティブ化できます。

2. ワークロードの監視：ユーザーを少なくとも 7〜15 日間無効にして、ワークロードに支障が出ないことを確認してください。

3. ユーザーの削除：観察期間後、問題が発生しない場合は、以下の削除手順に進んでください。

1. RAM ユーザーをリサイクルビンに移動する

この操作により、ユーザーが無効化されてリサイクルビンに移動し、自動消去までの 30 日間のカウントダウンが開始されます。リサイクルビンに移動すると、コンソールログイン、API 呼び出し (アクセスキー)、すべての権限、MFA デバイスは無効化または削除されます。

2. リサイクルビン内のユーザーを管理する

リサイクルビン内のユーザーを表示、復元、または完全に消去できます。