RAM ユーザーアカウントのセキュリティを強化するため、ユーザー名とパスワードに加えて、多要素認証 (MFA) を追加の認証レイヤーとして有効にすることを推奨します。MFA を有効にすると、RAM ユーザーがコンソールにログインする際や機密性の高い操作を実行する際に、第 2 要素認証を完了する必要があります。これにより、侵害された認証情報によるセキュリティリスクを防ぐことができます。本トピックでは、RAM ユーザーがパスキー、仮想 MFA デバイス、セキュリティメールなどの MFA デバイスを紐付ける方法について説明します。
お客様のアカウントと資産をより安全に保護するため、Alibaba Cloud は2025年3月17日から、すべての RAM ユーザーに対してログイン時の多要素認証 (MFA) の必須化を段階的に実施します。詳細については、「お知らせ」をご参照ください。
RAM ユーザーの MFA 方式の比較
ビジネス要件とセキュリティレベルに基づいて、RAM ユーザーに対して 1 つまたは複数の MFA 方式を選択できます。各 MFA 方式の詳細については、「サポートされるMFA方式」をご参照ください。
|
MFA 方式 |
検証方法 |
セキュリティレベル |
依存関係 |
推奨事項 |
|
パスキー |
生体認証 (指紋/顔) またはデバイス PIN |
最高 |
互換性のあるデバイス (コンピューター/スマートフォン) とブラウザー、またはハードウェアセキュリティキー。詳細については、「パスキーとは」をご参照ください。 |
最高レベルのセキュリティと、便利でパスワード不要のログインエクスペリエンスを必要とするユースケースに最適です。この方式は、デバイス自体を検証し、デバイスに組み込まれた生体認証を使用して認証を行います。 |
|
仮想 MFA デバイス |
時間ベースのワンタイムパスワード (TOTP) |
高 |
Alibaba Cloud アプリや Google 認証システムなど、スマートフォン上の認証アプリ。 |
汎用性が高く、セキュリティレベルも高く、地域や通信キャリアに制限されません。主要な MFA オプションとして適しています。 |
|
セキュリティメール |
メール検証コード |
中 |
メールサービス |
バックアップ検証方法として使用します。主要な MFA デバイスが使用できない場合、緊急ログインに使用できます。 |
-
デバイスの紛失、破損、またはアプリのアンインストールによるログイン失敗を防ぐため、各 RAM ユーザーに対して少なくとも 2 種類の異なる MFA デバイスを紐付けることを強く推奨します。たとえば、パスキーとセキュリティメールなどです。
-
U2F セキュリティキーはパスキーにアップグレードされています。アカウントに U2F セキュリティキーが紐付けられている場合は、パスキーにアップグレードすることを推奨します。詳細については、「U2F セキュリティキーをパスキーにアップグレードする」をご参照ください。
グローバルMFAポリシーの設定
RAM ユーザーが MFA デバイスを紐付ける前に、Alibaba Cloud アカウントまたは RAM 管理者がグローバル MFA ポリシーを設定する必要があります。このポリシーは、MFA 適用ルールと許可されるデバイスタイプを定義します。ユーザーにデバイスを紐付けるものではありません。各 RAM ユーザーは、個別にデバイスを紐付ける必要があります。
グローバルポリシーを設定した後、本トピックで説明されているように MFA デバイスを紐付けて、MFA を有効にします。グローバル設定の詳細については、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。
パスキーの紐付け
パスキーは、デバイスに組み込まれた生体認証 (指紋または顔) または PIN を使用して認証を行い、シームレスで非常に安全なパスワード不要のエクスペリエンスを提供します。パスキー対応のオペレーティングシステムとブラウザー、またはハードウェアセキュリティキーが必要です。パスキーの制限事項とサポートされるデバイスタイプの詳細については、「パスキーとは」をご参照ください。
頻繁に使用するすべてのデバイスにパスキーを紐付けることを推奨します。また、新しいデバイスに切り替えた際にロックアウトされることを防ぐため、セキュリティメールもバックアップとして紐付けてください。
ログインページでの設定
RAM ユーザーが初めてコンソールにログインする際、次の手順でパスキーを紐付けることができます。
-
RAM ユーザーログインページに移動し、RAM ユーザー名とログインパスワードを入力します。
-
[パスキー] を選択します。
-
[パスキーの紐付け] ページで、画面の指示に従って手順を完了します。詳細については、「RAM ユーザーのパスキーの管理」をご参照ください。
セキュリティページでの設定
-
RAM ユーザーログインページに移動してログインします。
-
右上隅のプロフィール画像にカーソルを合わせ、[セキュリティ情報] をクリックします。
-
パスキー セクションで、パスキーを作成する をクリックします。
-
[パスキーの紐付け] ページで、画面の指示に従って手順を完了します。詳細については、「RAM ユーザーのパスキーの管理」をご参照ください。
仮想 MFA デバイスの紐付け
仮想 MFA デバイスは、TOTP プロトコルをサポートする互換性のある認証アプリを使用してワンタイムパスワードを生成します。これは、安全で汎用性の高い MFA 方式です。開始する前に、Alibaba Cloud アプリや Google 認証システムなどの認証アプリをモバイルデバイスにダウンロードしてインストールしてください。
ログインページでの設定
RAM ユーザーが初めてコンソールにログインする際、次の手順で仮想 MFA デバイスを紐付けることができます。
-
RAM ユーザーログインページに移動し、RAM ユーザー名とログインパスワードを入力します。
-
[仮想MFAデバイス] を選択します。
-
モバイルデバイスに、仮想 MFA デバイスを追加します。以下の例は、Android デバイスで Alibaba Cloud アプリを使用する場合と、iOS デバイスで Google 認証システムアプリを使用する場合の仮想 MFA デバイスの追加方法を示しています。
Alibaba Cloud アプリ (Android)
-
Alibaba Cloud アプリにログインします。
-
ページの右上隅にある
アイコンをタップします。 -
右上隅の[+] アイコンをタップし、仮想 MFA デバイスを追加する方法を選択します。
-
QR コードのスキャン (推奨)：[QR コードをスキャン] をタップし、Alibaba Cloud コンソールの仮想 MFA デバイスの紐付けページに表示されている QR コードをスキャンして、[OK] をタップします。
-
手動での追加：[手動で追加] をタップし、Alibaba Cloud コンソールの仮想 MFA デバイスの紐付けページからアカウントとキーを入力して、[OK] をタップします。
-
Google 認証システムアプリ (iOS)
-
Google 認証システムアプリを開きます。
-
[開始] をタップし、仮想 MFA デバイスを追加する方法を選択します。
-
QR コードのスキャン (推奨)：[QR コードをスキャン] をタップし、Alibaba Cloud コンソールの仮想 MFA デバイスの紐付けページに表示されている QR コードをスキャンします。
-
セットアップキーの入力：[セットアップキーを入力] をタップし、Alibaba Cloud コンソールの仮想 MFA デバイスの紐付けページからアカウントとキーを入力して、[追加] をタップします。
-
-
-
Alibaba Cloud コンソールで、モバイルデバイスに表示されているワンタイムパスワードを入力し、[OK] をクリックします。
セキュリティページでの設定
-
RAM ユーザーログインページに移動してログインします。
-
右上隅のプロフィール画像にカーソルを合わせ、[セキュリティ情報] をクリックします。
-
MFA 情報 セクションで、MFAデバイス の右側にある[VMFAの紐付け] をクリックします。
-
モバイルデバイスに、仮想 MFA デバイスを追加します。以下の例は、Android デバイスで Alibaba Cloud アプリを使用する場合と、iOS デバイスで Google 認証システムアプリを使用する場合の仮想 MFA デバイスの追加方法を示しています。
Alibaba Cloud アプリ (Android)
-
Alibaba Cloud アプリにログインします。
-
ページの右上隅にある
アイコンをタップします。 -
右上隅の[+] アイコンをタップし、仮想 MFA デバイスを追加する方法を選択します。
-
QR コードのスキャン (推奨)：[QR コードをスキャン] をタップし、Alibaba Cloud コンソールの仮想 MFA デバイスの紐付けページに表示されている QR コードをスキャンして、[OK] をタップします。
-
手動での追加：[手動で追加] をタップし、Alibaba Cloud コンソールの仮想 MFA デバイスの紐付けページからアカウントとキーを入力して、[OK] をタップします。
-
Google 認証システムアプリ (iOS)
-
Google 認証システムアプリを開きます。
-
[開始] をタップし、仮想 MFA デバイスを追加する方法を選択します。
-
QR コードのスキャン (推奨)：[QR コードをスキャン] をタップし、Alibaba Cloud コンソールの仮想 MFA デバイスの紐付けページに表示されている QR コードをスキャンします。
-
セットアップキーの入力：[セットアップキーを入力] をタップし、Alibaba Cloud コンソールの仮想 MFA デバイスの紐付けページからアカウントとキーを入力して、[追加] をタップします。
-
-
-
Alibaba Cloud コンソールで、モバイルデバイスに表示されているワンタイムパスワードを入力し、[OK] をクリックします。
RAM ユーザーに対して[MFA検証ステータスを7日間記憶] させることもできます。この機能を有効にすると、RAM ユーザーは MFA 実行時に[このデバイスを記憶し、7日間検証を求めない] を選択できます。RAM ユーザーがこのオプションを選択すると、そのデバイスで 7 日間 MFA を実行する必要がなくなります。この設定方法の詳細については、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。
セキュリティメールの紐付け
セキュリティメールは通常、バックアップ MFA 方式として使用されます。主要なデバイスが使用できない場合の検証オプションを提供します。
-
RAM ユーザーログインページに移動してログインします。
-
右上隅のプロフィール画像にカーソルを合わせ、[セキュリティ情報] をクリックします。
-
MFA 情報 セクションで、安全なメールボックス の右側にある[紐付け] をクリックします。
-
[メールの紐付け] ページで、メールアドレスを入力し、検証コードを取得して入力し、[OK] をクリックします。
RAM ユーザーの基本情報に記載されているメールアドレスは参考用であり、紐付けられたセキュリティメールとは異なります。第 2 要素認証に使用できるのは、セキュリティメールのみです。
U2F キーをパスキーにアップグレード
RAM ユーザーが以前に U2F セキュリティキーを紐付けている場合、そのキーは引き続き使用できます。ただし、パスキーにアップグレードすることを推奨します。
-
RAM ユーザーログインページに移動してログインします。
-
右上隅のプロフィール画像にカーソルを合わせ、[セキュリティ情報] をクリックします。
-
MFA 情報 セクションで、MFAデバイス の右側にあるパスキーへのアップグレード をクリックします。
-
U2F をパスキーにアップグレードする ダイアログボックスで、[OK] をクリックします。
U2F デバイスをアップグレードするために、ワンタイム認証を実行するよう求めるメッセージが表示されます。認証が成功すると、U2F デバイスがパスキーにアップグレードされ、ログイン認証と MFA の両方に使用できるようになります。
-
[パスキーの紐付け] ページで、セキュリティキーを紐付けます。詳細については、「RAM ユーザーのパスキーの管理」をご参照ください。
次のステップ
MFA が有効になり、MFA デバイスがバインドされた RAM ユーザーは、Alibaba Cloud にログインする際やコンソール上で機密性の高い操作を実行する際に、次の 2 つの認証要素を提供する必要があります。
-
第 1 要素：ユーザー名とパスワードを入力します。
-
第二要素: 仮想 MFA デバイスによって生成された確認コードを入力するか、セキュリティメールアドレスに送信された確認コードを入力するか、パスキー認証を実行します。
-
RAM ユーザーの MFA デバイスを交換する場合は、まず現在のデバイスの紐付けを解除してから、新しいデバイスを紐付ける必要があります。詳細については、「RAM ユーザーの MFA デバイスの紐付け解除」をご参照ください。
-
RAM ユーザーの U2F セキュリティキーが紛失した場合、または Alibaba Cloud アプリや Google 認証システムなどの MFA アプリを紐付け解除せずにアンインストールした場合、Alibaba Cloud にログインできなくなります。アクセスを回復するには、Alibaba Cloud アカウントまたは RAM 管理者に依頼して、RAM コンソールでデバイスの紐付けを解除する必要があります。詳細については、「RAM ユーザーの MFA デバイスの紐付け解除」をご参照ください。