Resource Access Management:サービスクレデンシャルの管理 (API キー)

主な機能

• サービスレベルの隔離：各 API キーは、作成時に単一のクラウドサービス (ServiceName で指定) に紐付けられます。そのサービスの API 呼び出しにのみ使用でき、サービスをまたいだ呼び出しには使用できません。権限ポリシーでそのスコープを拡張することはできません。

• 権限範囲の最小化：API キーの有効な権限は、関連付けられた RAM ユーザーの権限と、紐付けられたクラウドサービスのスコープとの積集合です。RAM ユーザーが複数のサービスに対する権限を持っていても、API キーは指定されたサービスに制限されます。

• RAM ユーザーに限定：API キーを作成できるのは RAM ユーザーのみです。Alibaba Cloud アカウント (ルートアカウント) は作成できません。この制限により、認証情報が漏洩した場合の潜在的な影響を軽減できます。

• 命名規則: ServiceCredential は OpenAPI および SDK で使用される用語ですが、コンソールではより分かりやすい用語の [API キー] が使用されます。どちらの用語も同じリソースを指します。

API キーと AccessKey の比較

API キーと AccessKey はどちらも RAM ユーザー向けの長期的な認証情報です。しかし、サービススコープ、発行方法、ユースケースが異なります。

ライフサイクルステータス

API キーは、そのライフサイクル中に次の 3 つのステータスのいずれかになります。

• アクティブ：認証情報を使用して、紐付けられたクラウドサービスの OpenAPI を呼び出すことができます。これは作成時のデフォルトのステータスです。

• 非アクティブ: 認証情報は一時的に無効になっています。アクティブ 状態に再アクティブ化できます。キーは、削除する前に非アクティブにする必要があります。

• 期限切れ：有効期限に達すると、システムは自動的にキーのステータスを期限切れに変更します。認証情報は永久に無効になり、回復できません。新しいキーを作成する必要があります。

クォータと有効期間

• クォータ: 各 RAM ユーザーは、1 つのクラウドサービスにつき、アクティブなキーと非アクティブなキーを含め、最大 2 つの API キーを作成できます。このクォータは固定です。有効期限切れのキーはこのクォータにカウントされますが、削除されたキーはカウントされません。

• 有効期間の単位：日。

• 値の範囲：コンソールには 1 日、7 日、30 日、90 日のプリセットが用意されており、キーを無期限に設定することもできます。カスタム値もサポートされています。

• OpenAPI のデフォルト: CreateServiceCredential 操作を呼び出す際に CredentialAgeDays パラメーターを省略した場合、キーは無期限に設定されます。

• 有効期限切れは最終的な状態です: キーの有効期限が切れると、そのステータスは 有効期限切れ に変わり、永久に無効になります。再度有効化することはできません。期限切れのキーを削除して、新しいキーを作成する必要があります。

サポートされるクラウドサービス

RAM コンソールで、[ユーザー詳細] ページ > [認証情報管理] タブ > [API キー] セクションに移動し、[API キーの作成] をクリックします。[クラウドサービス] ドロップダウンリストには、お使いのアカウントで利用可能なサービスが一覧表示されます。サポートされている API のリストについては、特定のサービスのドキュメントをご参照ください。

RAM ユーザーによる自己管理

十分な権限を持つ Alibaba Cloud アカウントまたは RAM 管理者は、RAM セキュリティ設定の AllowUserToManageServiceCredential 設定を使用して、RAM ユーザーが自身の API キーを管理できるかどうかを制御できます。この設定には、次の 2 つの状態があります。

• 自己管理を許可：RAM ユーザーは、管理者によって権限ポリシーで明示的に拒否されていない (Deny ポリシーが設定されていない) 限り、コンソールへのログインや OpenAPI の呼び出しを通じて、自身の API キーを作成、更新、または削除できます。

• 自己管理は許可されていません: RAM ユーザーは自身の API キーを管理できません。キーの作成と管理は、ram:CreateServiceCredential などの権限を持つ管理者が行う必要があります。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME",
      "Condition": {
        "StringEquals": {
          "ram:ServiceCredentialServiceName": "ak.aliyuncs.com"
        }
      }
    }
  ]
}

API キーのデータ構造

各 API キーは以下のコアフィールドで構成されています。OpenAPI によって返されるフィールド名には ServiceCredential というプレフィックスが付きますが、コンソール上のフィールド名はより分かりやすくなっています。

セキュリティに関する推奨事項

• API キーには有効期間を設定してください。短期的なテストキーを無期限に設定することは避けてください。他のユースケースでは、サービスの使用サイクルに基づいて 30 日や 90 日などの適切な有効期間を設定し、有効期限が切れる前にキーをローテーションしてください。

• キーを作成したら、すぐに API キーのシークレットをコピーするか、CSV ファイルをダウンロードしてください。ポップアップウィンドウを閉じると、シークレットを再度取得することはできません。シークレットを紛失した場合は、キーを削除して新しいキーを作成する必要があります。

• API キーは機密性の高い認証情報として扱ってください。コードリポジトリ、設定ファイル、またはログに平文でコミットしないでください。シークレット管理サービスを使用するか、保存する前に KMS で暗号化することを推奨します。