すべてのプロダクト
Search

このプロダクト

    Resource Management:CloudSSO を使用した複数アカウントの ID と権限の一元管理

    ドキュメントセンター

    Resource Management:CloudSSO を使用した複数アカウントの ID と権限の一元管理

    最終更新日:Oct 16, 2026

    CloudSSO とリソースディレクトリを使用して、複数の Alibaba Cloud アカウントにわたる一元的な ID 管理とアクセス制御を設定します。

    目的

    CloudSSO はリソースディレクトリと統合し、一元的な複数アカウントの ID 管理とアクセス制御を提供します。CloudSSO の管理者は、ユーザーの作成、権限をまとめたアクセス設定の定義、リソースディレクトリ内のメンバーへのこれらの設定のプロビジョニングを、すべて 1 か所から実行できます。その後、CloudSSO ユーザーは CloudSSO ユーザーポータルにログインします。ポータルでは、アクセス可能なすべてのメンバーを確認し、割り当てられた権限で各メンバーに切り替えることができます。

    このチュートリアルでは、以下の要素を使用して、完全なセットアップ手順を説明します。

    • ユーザー： user1 (新規 CloudSSO ユーザー)

    • アクセス設定： AliyunVPCFullAccess システムポリシーを付与する設定

    • ターゲットメンバー： Sandbox Account (リソースディレクトリ内のメンバー)

    このチュートリアルを完了すると、user1 は CloudSSO ユーザーポータルにログインし、Sandbox Account 内の仮想プライベートクラウド (VPC) リソースにのみアクセスできるようになります。

    前提条件

    開始する前に、次の要件が満たされていることを確認してください。

    • リソースディレクトリが有効化されており、必要な Alibaba Cloud アカウントがメンバーとして追加されていること。

      詳細については、「リソースディレクトリの概要」および「リソースディレクトリの有効化」をご参照ください。

    • CloudSSO が有効化され、CloudSSO ディレクトリが作成されていること。

      詳細については、「CloudSSO とは」、「CloudSSO の有効化」、および「CloudSSO ディレクトリの作成」をご参照ください。

    • リソースディレクトリの管理アカウントに、AliyunCloudSSOFullAccess ポリシーがアタッチされた RAM ユーザーが存在すること。このチュートリアルの操作は、管理アカウントまたはその RAM ユーザーのみが実行できます。

    • 新しいリソースディレクトリ (RD) アカウントを作成して CloudSSO でログインした後、CloudSSO ユーザーが RD メンバーアカウントで持つ権限は、CloudSSO で作成され、アカウントにプロビジョニングされたアクセス設定によって決まります。

    一元的なアクセスの設定

    1. CloudSSO コンソールにログインします。

    2. CloudSSO ユーザーを作成します。

      この例では、user1 という名前のユーザーを作成します。

      詳細については、「ユーザーの作成」をご参照ください。

    3. CloudSSO ユーザーのユーザー名とパスワードでのログインを有効にします。

      詳細については、「ユーザー名とパスワードでのログインの有効化」をご参照ください。

    4. アクセス設定を作成します。

      アクセス設定は、CloudSSO ユーザーがメンバーアカウントにアクセスする際に付与される権限を定義します。CloudSSO では、この設定を「許可セット」として作成します。アクセス設定がない場合、ユーザーはポータルにログインできても、どのリソースにもアクセスできません。この例では、アクセス設定には AliyunVPCFullAccess システムポリシーのみが含まれ、インラインポリシーは含まれません。

      詳細については、「アクセス設定の概要」および「許可セットの作成」をご参照ください。

    5. user1 に Sandbox Account へのアクセス権を付与します。

      アクセス設定をそのメンバーにプロビジョニングすることで、user1 が Sandbox Account 内の VPC リソースにアクセスできるようにします。

      詳細については、「メンバーアカウントへのアクセスの割り当て」をご参照ください。

    6. user1 としてアクセスを確認します。

      1. user1 のユーザー名とパスワードを使用して、CloudSSO ユーザーポータルにログインします。

      2. メンバーリストから Sandbox Account を選択します。

      3. 割り当てられた RAM ロールを使用して、Sandbox Account 内の VPC リソースにアクセスします。

      詳細については、「CloudSSO ユーザーポータル経由でのリソースへのアクセス」をご参照ください。

    次のステップ

    上記の手順を繰り返して、CloudSSO ユーザーを追加作成し、さまざまな権限範囲を持つアクセス設定をさらに定義し、それらをリソースディレクトリ内の他のメンバーにプロビジョニングします。これにより、すべての Alibaba Cloud アカウントにわたる ID と権限を一元的に管理できるようになります。

    アクセス管理をさらに効率化するには、外部 ID プロバイダー (IdP) からユーザーを同期し、シングルサインオン (SSO) を介してメンバーアカウントにアクセスできるようにします。詳細については、「CloudSSO とは」をご参照ください。