RAM ロールの信頼ポリシーの変更 - Resource Access Management

RAM ロールの信頼ポリシーを変更して、そのプリンシパルを変更できます。このトピックでは、RAM ロールのプリンシパルを Alibaba Cloud アカウント、Alibaba Cloud サービス、または ID プロバイダー (IdP) に変更する方法について説明します。

背景情報

RAM ロールを作成する際に、そのロールを偽装できるプリンシパルを指定します。プリンシパルには、Alibaba Cloud アカウント、Alibaba Cloud サービス、または ID プロバイダー (IdP) を指定できます。通常、信頼ポリシーは作成後に変更する必要はありませんが、必要に応じて変更することも可能です。

警告

RAM ロールの信頼ポリシーでプリンシパルを変更すると、そのロールを偽装できるエンティティが変更され、サービスが中断される可能性があります。本番アカウントに適用する前に、テストアカウントで変更をテストし、期待どおりに動作することを確認することを強く推奨します。

操作手順

RAM 管理者として RAM コンソールにログインします。
左側のナビゲーションウィンドウで、アイデンティティ > ロール を選択します。
ロール ページで、対象の RAM ロールの名前をクリックします。
トラスト規則 タブで、編集トラスト規則 をクリックします。
エディターで信頼ポリシーを変更し、OK をクリックします。

例 1：プリンシパルを Alibaba Cloud アカウントに変更

Principal 要素に RAM フィールドが含まれている場合、RAM ロールのプリンシパルは Alibaba Cloud アカウント です。このロールは、信頼された Alibaba Cloud アカウントに属する RAM ユーザーまたは RAM ロールによって偽装できます。

信頼された Alibaba Cloud アカウント内のすべての RAM ユーザーと RAM ロールに RAM ロールの偽装を許可する

たとえば、次の信頼ポリシーでは、Alibaba Cloud アカウント 123456789012**** 内の任意の RAM ユーザーまたは RAM ロールがこのロールを偽装することを許可します。
```
{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:root"
                ]
            }
        }
    ],
    "Version": "1"
}
```
信頼された Alibaba Cloud アカウント内の指定された RAM ユーザーにのみ RAM ロールの偽装を許可する

Principal 要素を次のように変更すると、この RAM ロールは Alibaba Cloud アカウント 123456789012**** 配下の RAM ユーザー testuser によって偽装できることを意味します。
```
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:user/testuser"
                ]
            }                   
```
説明
この信頼ポリシーを変更する際は、対応する RAM ユーザー testuser が作成済みであることを確認してください。
信頼された Alibaba Cloud アカウント内の指定された RAM ロールにのみ RAM ロールの偽装を許可する

Principal の内容を次のように変更すると、この RAM ロールは Alibaba Cloud アカウント 123456789012**** 配下の RAM ロール testrole によって偽装できることを示します。
```
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:role/testrole"                
                ]
            }                                 
```
説明
この信頼ポリシーを変更する際は、対応する RAM ロール testrole が作成済みであることを確認してください。

例 2：プリンシパルを Alibaba Cloud サービスに変更

Principal 要素に Service フィールドが含まれている場合、RAM ロールのプリンシパルは Alibaba Cloud サービス です。これは、このロールが信頼された Alibaba Cloud サービスによって偽装できることを意味します。

例えば、次の信頼ポリシーは、現在の Alibaba Cloud アカウント内の ECS サービスがロールを偽装できるようにします。

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "ecs.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

説明

サービスリンクロールの信頼ポリシーは、関連付けられたクラウドサービスによって定義されます。サービスリンクロールの信頼ポリシーは変更できません。詳細については、「サービスリンクロール」をご参照ください。

例 3：プリンシパルを ID プロバイダー (IdP) に変更

Principal 要素に Federated フィールドが含まれている場合、RAM ロールのプリンシパルは IdP です。これは、このロールが信頼された ID プロバイダーのユーザーによって偽装できることを意味します。

次の信頼ポリシーを例として使用します。この RAM ロールは、現在の Alibaba Cloud アカウント (AccountID=123456789012****) の ID プロバイダー testprovider 配下のユーザーによって偽装できます。

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::123456789012****:saml-provider/testprovider"
                ]
            },
            "Condition":{
                "StringEquals":{
                    "saml:recipient":"https://signin.alibabacloud.com/saml-role/sso"
                }
            }
        }
    ],
    "Version": "1"
}