Resource Access Management:RAM ユーザーの無効化または削除

削除前の最終チェックリスト

RAM ユーザーを削除する前に、以下のチェックを完了してください。

• AccessKey ペアのアクティビティを確認：

  • RAM コンソール のユーザー詳細ページの AccessKey タブで、最終使用サービス / 時間 を確認します。

  • さらに詳細な情報を必要とする場合は、ActionTrail コンソール にログインします。AccessKey 監査 タブに移動し、対象の AccessKey ID でクエリを実行し、当該ユーザーの AccessKey が最近 API 呼び出しを行っていないことを確認します。

• コンソールログインアクティビティを確認：

  • RAM コンソールのユーザー詳細ページの 認証管理 タブで、最終ログイン時間 を確認します。

  • 操作記録 タブで詳細情報を確認することもできます。または、ActionTrail コンソール にログインし、イベントクエリ タブで、操作者名 フィールドに当該 RAM ユーザーのユーザー名を指定してフィルターをかけ、ユーザーが最近コンソール操作を行っていないことを確認します。

• サービス依存関係を確認：

  • ACK の kubeconfig ファイルなど、他の資格情報の取得にこの RAM ユーザーを使用しているクラウドサービスはありますか？

  • DataWorks や MaxCompute など、タスクの実行にこの RAM ユーザーを使用しているサービスはありますか？

  • RAM コンソールのユーザー詳細ページにある 権限監査ベータ タブおよび 最終アクセス時間 を確認することで、ユーザーに付与されているサービスを把握できます。詳細については、「権限監査概要」をご参照ください。

• ユーザー情報のバックアップ（任意）：RAM ユーザーを復元しても、その権限およびグループメンバーシップは復元されません。削除前に、API またはスクリプトを使用してアクセスポリシーおよびグループメンバーシップをエクスポートしてください。

ベストプラクティス：削除前に無効化

RAM ユーザーがまだアクティブかどうか不確かな場合は、まずその資格情報を一時的に無効化してください。その後、一定期間システムを監視し、問題が発生しないことを確認してからユーザーを削除します。これは、退職者や廃止予定のアプリケーションの処理において最も安全な方法です。

1. ユーザーを一時的に無効化：

   • コンソールログインを無効化：ユーザー詳細ページの 認証管理 タブに移動し、ログイン情報 セクションで ログイン設定の変更 をクリックします。次に、コンソールへのアクセス を 無効 に設定します。

   • AccessKey を無効化：ユーザー詳細ページの AccessKey タブで、すべての AccessKey のステータスを 無効 に設定します。これにより、ユーザーはログインや API 呼び出しができなくなりますが、ID および権限構成は保持されるため、いつでも再有効化が可能です。

2. ビジネス状況を監視：ユーザーを少なくとも 7 ～ 15 日間無効化したままにし、サービス中断が発生しないことを確認します。

3. 削除を実行：観察期間後、ユーザーを安全に削除できることが確認されたら、削除手順を実行します。

1. RAM ユーザーをゴミ箱に移動

この操作により、ユーザーが無効化されゴミ箱に移動し、30日間の自動クリーンアップカウントダウンが開始されます。ゴミ箱に移動後、ユーザーのコンソールログイン、API 呼び出し (AccessKey)、すべての権限、MFA デバイス、および は無効化または削除されます。

ゴミ箱内のユーザー管理

ゴミ箱内の RAM ユーザーを表示、復元、または完全削除できます。