すべてのプロダクト
Search
ドキュメントセンター

Resource Management:権限管理

最終更新日:Jul 15, 2026

Resource Access Management (RAM) は Alibaba Cloud によって提供される、ユーザーのアイデンティティとリソースの権限を管理するためのサービスです。RAM を使用すると、Alibaba Cloud アカウント (root ユーザー) のキーを他のユーザーと共有することを回避でき、ユーザーに必要最小限の権限を付与できます。RAM ではポリシーを使用して権限付与を定義します。このトピックでは、RAM ポリシーの一般的な構造と、 Resource Management. のポリシーステートメントを構成する要素である「アクション (Action)」「リソース (Resource)」および「条件 (Condition) 」について説明します。 Resource Management. は、RAM コード (RamCode) が resourcecenter,resourcemanager,tag,resourcesharing で、 Resource-level. での権限付与がサポートされています。

一般的なポリシー構造

RAM ポリシーは、一般的に以下のような JSON 構造で構成されます。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}        

ポリシーのフィールドに関する説明:

  • Version:ポリシーのバージョン番号。現在のポリシーバージョンは 1 です。

  • Statement:

    • Effect:「許可するか、拒否するか」という、最終的な結果を定義します。有効な値:Allow (許可) または Deny (拒否)。

    • Action:「何をすることができるか、できないか」を定義する、リソースへの具体的な操作を指します。

    • Resource:「何に対して操作を行うか」を定義する、操作の具体的な対象です。対象となるリソースは、ARN (Alibaba Cloud Resource Name) を使用して指定できます。

    • Condition:「どのような状況下でポリシーが適用されるか」という、権限が有効になるための付加的な制約条件を定義します。このフィールドは任意です。

      • Condition operator:条件の演算子。条件キーの値とリクエスト値をどのように比較するかを定義する「比較方法」です。条件演算子は、条件のタイプによって異なります。

      • Condition_key:条件のキー。ポリシーの条件が満たされているかを判断するために、リクエストから参照・チェックされる特定の属性を指します。

      • Condition_value:条件の値。条件キーから取得されたリクエスト値と比較するための、具体的な「基準値」です。

アクション (Action)

下表に、Resource Management. で定義されたアクションを示します。以下で各列名について説明します。

  • アクション:特定のリソースに対して実行可能な操作。ポリシー構文ではAction要素として指定します。

  • API:アクションを具体的に実行するための API。

  • アクセスレベル:各 API に対して事前定義されているアクセスの種類。有効な値:create、list、get、update、delete。

  • リソースタイプ:アクションが作用するリソースの種類。リソースレベルでの権限をサポートするかどうかを示すことができます。ポリシーの有効性を確保するため、アクションの対象として適切なリソースを指定する必要があります。

    • リソースレベルの権限を持つ API の場合、必要なリソースタイプはアスタリスク (*) でマークされます。ポリシーのResource要素で対応する ARN を指定してください。

    • リソースレベルの権限を持たない API の場合、「すべてのリソース」と表示され、ポリシーのResource要素でアスタリスク (*) でマークされます。

  • 条件キー:サービスによって定義された条件のキー。このキーにより、きめ細やかなアクセス制御が可能になります。この制御は、アクション単体に適用することも、特定のリソースに対するアクションに適用することもできます。Alibaba Cloud は、サービス固有の条件キーに加えて、すべての RAM 統合サービスに適用可能な一連の共通条件キーを提供しています。詳細については、「共通条件キー」をご参照ください。

  • 依存アクション:ある特定のアクションを実行するために、前提として実行が必要となる他のアクション。依存アクションの権限も RAM ユーザーまたは RAM ロールに付与する必要があります。

アクション

API

アクセスレベル

リソースタイプ

条件キー

依存アクション

resourcemanager:RetryChangeAccountEmail RetryChangeAccountEmail update

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:UpdateAutoGroupingRule UpdateAutoGroupingRule update

*All resources.

*

なし なし
resourcemanager:CreateAutoGroupingRule CreateAutoGroupingRule create

*All resources.

*

なし なし
resourcemanager:InitResourceDirectory InitResourceDirectory create

*All resources.

*

なし なし
resourcemanager:CreateControlPolicy CreateControlPolicy create

*All resources.

*

なし なし
resourcemanager:ListAutoGroupingRules ListAutoGroupingRules list

*All resources.

*

なし なし
resourcemanager:ListHandshakesForAccount ListHandshakesForAccount list

*Handshake

acs:resourcemanager:*:{#accountId}:handshake/*

なし なし
resourcemanager:ListTargetAttachmentsForControlPolicy ListTargetAttachmentsForControlPolicy list

*ControlPolicy

acs:resourcemanager:*:{#accountId}:policy/controlpolicy/{#PolicyId}

なし なし
resourcemanager:CreateCloudAccount CreateCloudAccount create

*All resources.

*

なし なし
resourcemanager:UpdateControlPolicy UpdateControlPolicy update

*ControlPolicy

acs:resourcemanager:*:{#accountId}:policy/controlpolicy/{#PolicyId}

なし なし
resourcemanager:CreateFolder CreateFolder create

*Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:PromoteResourceAccount PromoteResourceAccount update

*All resources.

*

なし なし
resourcemanager:GetHandshake GetHandshake get

*Handshake

acs:resourcemanager:*:{#accountId}:handshake/{#HandshakeId}

なし なし
resourcemanager:SendVerificationCodeForEnableRD SendVerificationCodeForEnableRD none

*All resources.

*

なし なし
resourcemanager:EnableResourceDirectory EnableResourceDirectory create

*All resources.

*

なし なし
resourcemanager:InviteAccountToResourceDirectory InviteAccountToResourceDirectory create

*Handshake

acs:resourcemanager:*:{#accountId}:handshake/*

*Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:ListDelegatedAdministrators ListDelegatedAdministrators list

*All resources.

*

なし なし
resourcemanager:ListTagKeys ListTagKeys list

*All resources.

*

なし なし
resourcemanager:ListTagValues ListTagValues list

*All resources.

*

なし なし
resourcemanager:ListTagResources ListTagResources list

*All resources.

*

なし なし
resourcemanager:EnableResourceGroupNotification EnableResourceGroupNotification none

*All resources.

*

なし なし
resourcemanager:DeleteControlPolicy DeleteControlPolicy delete

*ControlPolicy

acs:resourcemanager:*:{#accountId}:policy/controlpolicy/{#PolicyId}

なし なし
resourcemanager:UpdateFolder UpdateFolder update

*Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:CancelChangeAccountEmail CancelChangeAccountEmail update

*Account

acs:resourcemanager::{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:DisableAutoGrouping DisableAutoGrouping none

*All resources.

*

なし なし
resourcemanager:ListAccountsForParent ListAccountsForParent get

*Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:ListAccounts ListAccounts get

*Account

acs:resourcemanager:*:{#accountId}:account/*

なし なし
resourcemanager:DetachControlPolicy DetachControlPolicy update

*ControlPolicy

acs:resourcemanager:*:{#accountId}:policy/controlpolicy/{#PolicyId}

Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:RegisterDelegatedAdministrator RegisterDelegatedAdministrator create

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:GetAccountDeletionCheckResult GetAccountDeletionCheckResult get

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:GetControlPolicyEnablementStatus GetControlPolicyEnablementStatus get

*All resources.

*

なし なし
resourcemanager:GetResourceGroupAdminSetting GetResourceGroupAdminSetting none

*All resources.

*

なし なし
resourcemanager:ListDelegatedServicesForAccount ListDelegatedServicesForAccount list

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:DeclineHandshake DeclineHandshake update

*Handshake

acs:resourcemanager:*:{#accountId}:handshake/{#HandshakeId}

なし なし
resourcemanager:CreateResourceAccount CreateResourceAccount create

*Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:DisableResourceGroupNotification DisableResourceGroupNotification none

*All resources.

*

なし なし
resourcemanager:GetAccountDeletionStatus GetAccountDeletionStatus get

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:ListControlPolicyAttachmentsForTarget ListControlPolicyAttachmentsForTarget list

*All resources.

*

なし なし
resourcemanager:DeleteAutoGroupingRule DeleteAutoGroupingRule delete

*All resources.

*

なし なし
resourcemanager:GetPayerForAccount GetPayerForAccount get

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:CancelCreateCloudAccount CancelCreateCloudAccount update

*All resources.

*

なし なし
resourcemanager:GetAutoGroupingStatus GetAutoGroupingStatus get

*All resources.

*

なし なし
resourcemanager:GetAutoGroupingRule GetAutoGroupingRule get

*All resources.

*

なし なし
resourcemanager:UpdateAccount UpdateAccount update

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:CancelHandshake CancelHandshake update

*Handshake

acs:resourcemanager:*:{#accountId}:handshake/{#HandshakeId}

なし なし
resourcemanager:ListHandshakesForResourceDirectory ListHandshakesForResourceDirectory list

*Handshake

acs:resourcemanager:*:{#accountId}:handshake/*

なし なし
resourcemanager:SetMemberDeletionPermission SetMemberDeletionPermission update

*All resources.

*

なし なし
resourcemanager:EnableControlPolicy EnableControlPolicy update

*All resources.

*

なし なし
resourcemanager:DisableControlPolicy DisableControlPolicy update

*All resources.

*

なし なし
resourcemanager:SendVerificationCodeForBindSecureMobilePhone SendVerificationCodeForBindSecureMobilePhone none

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:DeregisterDelegatedAdministrator DeregisterDelegatedAdministrator delete

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:RemoveCloudAccount RemoveCloudAccount delete

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:AttachControlPolicy AttachControlPolicy update

*ControlPolicy

acs:resourcemanager:*:{#accountId}:policy/controlpolicy/{#PolicyId}

Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:CheckAccountDelete CheckAccountDelete get

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:ListFoldersForParent ListFoldersForParent list

*Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:DeleteFolder DeleteFolder delete

*Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:DeleteAccount DeleteAccount delete

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:UpdateAutoGroupingConfig UpdateAutoGroupingConfig none

*All resources.

*

なし なし
resourcemanager:DestroyResourceDirectory DestroyResourceDirectory delete

*All resources.

*

なし なし
resourcemanager:GetFolder GetFolder get

*Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:ListAutoGroupingRemediations ListAutoGroupingRemediations list

*All resources.

*

なし なし
resourcemanager:GetResourceDirectory GetResourceDirectory get

*All resources.

*

なし なし
resourcemanager:UpdateResourceGroupAdminSetting UpdateResourceGroupAdminSetting update

*All resources.

*

なし なし
resourcemanager:EnableAutoGrouping EnableAutoGrouping none

*All resources.

*

なし なし
resourcemanager:AcceptHandshake AcceptHandshake update

*Handshake

acs:resourcemanager:*:{#accountId}:handshake/{#HandshakeId}

なし なし
resourcemanager:ListAncestors ListAncestors list

*All resources.

*

なし なし
resourcemanager:GetAccount GetAccount get

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:ResendCreateCloudAccountEmail ResendCreateCloudAccountEmail update

*All resources.

*

なし なし
resourcemanager:ListTrustedServiceStatus ListTrustedServiceStatus list

*All resources.

*

なし なし
resourcemanager:MoveAccount MoveAccount update

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

*Folder

acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}

なし なし
resourcemanager:ListControlPolicies ListControlPolicies get

*All resources.

*

なし なし
resourcemanager:GetControlPolicy GetControlPolicy get

*ControlPolicy

acs:resourcemanager:*:{#accountId}:policy/controlpolicy/{#PolicyId}

なし なし
resourcemanager:GetResourceGroupNotificationSetting GetResourceGroupNotificationSetting none

*All resources.

*

なし なし
resourcemanager:ResendPromoteResourceAccountEmail ResendPromoteResourceAccountEmail update

*All resources.

*

なし なし
resourcemanager:ChangeAccountEmail ChangeAccountEmail update

*Account

acs:resourcemanager::{#accountId}:account/{#ResourceDirectoryPath}

なし なし
resourcemanager:CancelPromoteResourceAccount CancelPromoteResourceAccount update

*All resources.

*

なし なし
resourcemanager:BindSecureMobilePhone BindSecureMobilePhone update

*Account

acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}

なし なし

リソース (Resource)

下表に、Resource Management. で定義されたリソースを示します。ポリシーステートメントのResource要素で指定することで、特定のアクションの適用対象を設定できます。各リソースは対応する ARN を持ち、一意的に識別されます。ARN はacs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}形式で、構成要素は以下のとおりです。

  • acs:Alibaba Cloud Service の頭文字で、Alibaba Cloud のパブリッククラウドを指します。

  • {#ramcode}:RAM における具体的な Alibaba Cloud サービスの識別コード。

  • {#regionId}リージョン ID。アスタリスク (*) に設定した場合、リソースがすべてのリージョンに適用することを示します。

  • {#accountId}:Alibaba Cloud アカウントの ID。アスタリスク (*) に設定した場合、リソースがすべての Alibaba Cloud アカウントに適用することを示します。

  • {#resourceType}:具体的な Alibaba Cloud サービスによって定義されたリソースの識別子で、ファイルパスに似た階層構造をサポートしています。アスタリスク (*) に設定した場合、ステートメントがすべてのリソースに適用することを示します。

リソースタイプ

ARN

Account
  • acs:resourcemanager:*:{#accountId}:account/{#ResourceDirectoryPath}
  • acs:resourcemanager:*:{#accountId}:*
  • acs:resourcemanager:*:{#accountId}:account/*
  • acs:resourcemanager::{#accountId}:account/{#ResourceDirectoryPath}
ResourceDirectory
  • acs:resourcemanager:*:{#accountId}:*
  • acs:resourcemanager::{#accountId}:*
ControlPolicy
  • acs:resourcemanager:*:{#accountId}:policy/controlpolicy/*
  • acs:resourcemanager:*:{#accountId}:policy/controlpolicy/{#PolicyId}
Handshake
  • acs:resourcemanager:*:{#accountId}:handshake/*
  • acs:resourcemanager:*:{#accountId}:handshake/{#HandshakeId}
Folder
  • acs:resourcemanager:*:{#accountId}:folder/{#ResourceDirectoryPath}
  • acs:resourcemanager:*:{#accountId}:folder/*
TrustedService
  • acs:resourcemanager:*:{#accountId}:*

条件 (Condition)

下表に、Resource Management. で定義されたプロダクトレベルの条件キーを示します。このほかに、Alibaba Cloud の共通条件キーを使用することもできます。これらのキーをポリシーステートメントのCondition要素として指定することで、きめ細かい権限付与ルールを定義できます。条件キーで、ポリシーのCondition_value要素で条件の値を指定します。

各条件キーには、文字列、数値、ブール値、IP アドレスといった特定のデータ型が定められています。データ型によって使用できる条件演算子が異なるため、キーのデータ型に基づいて適切な演算子を指定する必要があります。不適切な演算子を指定した場合、ポリシーステートメントは機能しません。データ型と条件演算子の対応関係については、「Condition_operator」をご参照ください。

条件キー

説明

データ型

resourcesharing:ResourceArn リソース ARN。例: acs:vpc:cn-shanghai:131993166204****:vswitch/vsw-7xv4sfwo86u2etl64****。 String
resourcesharing:RequestedAllowExternalTargets リソースディレクトリ外のアカウントとの共有を許可するかどうかを指定します。例: false。 Boolean
ram:ServiceName サービスリンクロールの信頼できるクラウドサービスの識別子。例: actiontrail.aliyuncs.com。 String
resourcesharing:Target 例: リソースディレクトリ ID、リソースフォルダの RDPath、組織内のアカウントの RDPath、または組織外のアカウントのアカウント ID。 String
resourcesharing:RequestedResourceType リソースタイプ。例: VSwitch。 String

カスタム RAM ポリシーの作成方法

カスタムポリシーを作成し、RAM ユーザー、RAM ユーザーグループ、または RAM ロールに付与できます。詳細については、以下をご参照ください。