Resource Access Management (RAM) には、Alibaba Cloud アカウントを保護するためのセキュリティ設定が用意されています。
パスワード
パスワードは、Alibaba Cloud にログインする際に本人確認を行うための認証情報です。
パスワードは安全に保管し、定期的に変更してください。
詳細については、「RAM ユーザーのログインパスワードの変更」をご参照ください。
デフォルトログインサフィックス
Alibaba Cloud は、各 Alibaba Cloud アカウントに、デフォルトドメイン を<AccountAlias>.onaliyun.com の形式で割り当てます。このデフォルトログインサフィックスは Alibaba Cloud アカウントを一意に識別し、RAM ユーザーのログインおよびシングルサインオン (SSO) に使用されます。
詳細については、「RAM ユーザーのログインドメインの管理」をご参照ください。
カスタムログインサフィックス
公開解決可能なドメイン名を所有している場合、そのドメイン名を ドメインエイリアス として使用し、デフォルトログインサフィックスを置き換えることができます。カスタムログインサフィックスは、デフォルトログインサフィックスのエイリアスです。
カスタムログインサフィックスは、ドメインの所有権の検証が完了した後でのみ使用できます。検証完了後は、すべてのシナリオでカスタムログインサフィックスをデフォルトログインサフィックスの代わりに使用できます。
詳細については、「ドメインエイリアスの作成と検証」をご参照ください。
AccessKey ペア
AccessKey ペアは、AccessKey ID と AccessKey Secret で構成されます。RAM は、AccessKey ID と AccessKey Secret を用いた対称暗号化により、API リクエスト送信者を認証します。認証が成功した後でのみ、リソースを管理できます。
AccessKey ID は呼び出し元を識別します。AccessKey Secret は、RAM が検証する署名を生成するために使用されます。
AccessKey Secret は作成時のみ表示され、後から取得することはできません。安全に保管してください。
詳細については、「AccessKey の作成」をご参照ください。
多要素認証 (MFA)
多要素認証 (MFA) は、ユーザー名とパスワードに加えて追加の保護レイヤーを提供します。MFA は、コンソールへのログイン時や機密性の高い操作実行時に、本人確認のための第 2 認証要素を要求します。以下のセクションでは、RAM ユーザーで利用可能な MFA 方式と、その使用上の注意点および制限事項について説明します。
MFA 方式
|
認証方式 |
説明 |
適用範囲 |
参照 |
|
仮想 MFA |
タイムベースワンタイムパスワード (TOTP) は広く使用されている MFA プロトコルです。仮想 MFA デバイスとは、Alibaba Cloud アプリや Google Authenticator など、TOTP をサポートするアプリケーションです。ユーザーが仮想 MFA デバイスを有効にすると、ログイン時にアプリで生成される 6 桁の検証コードを入力する必要があります。これにより、パスワードが漏洩した場合でも不正アクセスを防止できます。 |
|
|
|
パスキー |
パスキーはパスワードの代わりとなる、より安全な認証方法です。RAM ユーザーはログイン時および MFA 方法としてパスキーを使用できます。パスキーを使用すると、ご利用のデバイスに内蔵された指紋認証、顔認証、または PIN を使ってログインまたは MFA 認証を完了できます。 |
|
|
|
セキュリティメールアドレス |
RAM ユーザーにセキュリティメールアドレスをアタッチします。セキュリティメールアドレスに送信された検証コードを、本人確認の第 2 認証要素として使用します。 |
|
仕組み
MFA が有効になり、MFA デバイスがバインドされた RAM ユーザーは、Alibaba Cloud にログインする際やコンソール上で機密性の高い操作を実行する際に、次の 2 つの認証要素を提供する必要があります。
-
第 1 要素：ユーザー名とパスワードを入力します。
-
第二要素: 仮想 MFA デバイスによって生成された確認コードを入力するか、セキュリティメールアドレスに送信された確認コードを入力するか、パスキー認証を実行します。
制限事項
-
仮想 MFA デバイスは、ブラウザまたは Alibaba Cloud アプリ経由でのログインをサポートしています。
-
パスキーの制限事項およびサポートされるデバイスの種類については、「パスキーとは」をご参照ください。
-
1 つのセキュリティメールアドレスは、最大 5 つの RAM ユーザーにアタッチできます。
機密性の高い操作時の本人確認
MFA デバイスがバインドされた RAM ユーザーがコンソール上で機密性の高い操作を実行すると、RAM は本人確認のための第 2 認証要素を要求します。ユーザーは有効な検証コードを入力した後でのみ、操作を続行できます。
すべての RAM ユーザーに対して機密性の高い操作時の本人確認を有効にするには、まずすべての RAM ユーザーに対して MFA を強制する必要があります。詳細については、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。