Resource Access Management:AccessKey の作成

AccessKey とは

AccessKey ペアは、Alibaba Cloud がプログラムによるアクセス用に発行する長期的なセキュリティ認証情報です。AccessKey ペアは、AccessKey ID と AccessKey シークレットで構成されます。

• AccessKey ID：AccessKey ペアの公開された一意の識別子です。

• AccessKey シークレット：プログラムによるリクエストに署名するために使用される秘密キーです。この署名により、リクエストの信頼性と整合性が検証されます。AccessKey シークレットは厳重に機密として保持する必要があります。

AccessKey の種類

AccessKey ペアは所有者によって分類されます：

• Alibaba Cloud アカウントの AccessKey ペア (非推奨)

  Alibaba Cloud アカウントの所有者がこの種類を作成します。デフォルトでは、アカウント内のすべての操作とリソースに対する完全な権限を持っています。侵害された場合、セキュリティリスクは極めて高くなります。Alibaba Cloud アカウントの AccessKey ペアを作成したり、使用したりしないでください。

• RAM ユーザーの AccessKey ペア (推奨)

  この種類は RAM ユーザーに属し、そのユーザーの権限を継承するため、最小権限のアクセスが可能になります。RAM ユーザーの AccessKey ペアを作成する前に、RAM ユーザーを作成してください。過剰な権限を防ぎ、共有された認証情報による侵害リスクを低減するために、各アプリケーションに一意の RAM ユーザーと AccessKey ペアを割り当ててください。

必要な権限

Alibaba Cloud アカウントは過剰な権限を持つため、AccessKey ペアの作成に使用することは避けてください。代わりに、必要な権限を持つ RAM ユーザーを使用して、RAM ユーザーの AccessKey ペアを作成および管理してください。

• 管理者に AliyunRAMFullAccess (RAM 管理者) システムポリシーをアタッチして、RAM ユーザーの AccessKey ペアの作成と管理を許可できます。

• また、RAM のグローバルセキュリティ設定で Allow users to manage AccessKey を有効にすると、ユーザーは自身の AccessKey ペアを管理できるようになります。詳細については、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。

  説明

  この設定を有効にすると、管理者がこれらのアクションを明示的に拒否するポリシーをアタッチしない限り、すべての RAM ユーザーが自身の AccessKey ペアの作成、無効化、削除などの操作を管理できるようになります。

  本番環境ではこの設定を有効にしないでください。特定のユーザーに自身の AccessKey ペアの管理を許可するには、カスタムポリシーを使用し、Resource をそのユーザーに制限します。ポリシーのサンプルは以下の通りです：

  セルフサービスでの作成を許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  セルフサービスでの管理を許可

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

RAM ユーザーの AccessKey の作成

RAM 管理者 (AliyunRAMFullAccess ポリシーを持つ) として、以下の手順を実行します。RAM ユーザーがいない場合は、まずRAM ユーザーを作成してください。

Alibaba Cloud アカウントの AccessKey の作成 (非推奨)

1. Alibaba Cloud アカウントで Alibaba Cloud コンソールにサインインします。

2. 右上隅のプロフィールアイコンにカーソルを合わせ、[AccessKey] をクリックします。

   

3. [クラウド アカウントの AccessKey ペアは非推奨です] ダイアログボックスで、Alibaba Cloud アカウントの AccessKey ペアを作成することに伴うリスクを確認します。続行するには、I am aware of the security risks of using a main account AccessKey. を選択し、[クラウド アカウントの AccessKey を使用] をクリックします。

   

4. [AccessKey] ページで、AccessKey の作成 をクリックします。

   

   説明

   Alibaba Cloud アカウントは最大 2 つの AccessKey ペアを持つことができます。1 つはアクティブな使用のため、もう 1 つは古いものを置き換えるためのローテーション用に作成できます。

5. Create Main Account AccessKey ダイアログボックスで、リスクと制限を再度確認します。Alibaba Cloud アカウントの AccessKey ペアを作成することを確信している場合は、I am aware of the security risks of using a main account AccessKey. を選択し、[クラウド アカウントの AccessKey を使用] をクリックします。

   

6. AccessKey の作成 ダイアログボックスで、AccessKey ID と AccessKey シークレットを保存し、AccessKey Secretを保存しました を選択してから、OK をクリックします。

   AccessKey ペアのネットワークアクセスコントロールポリシーの設定 (推奨)：OpenAPI リクエストのソース IP アドレスを制限して、コールを信頼できるネットワークに制限します。[ネットワークアクセスポリシーの設定] をクリックして、制限を設定します。詳細については、「Alibaba Cloud アカウントの AccessKey レベルのネットワークアクセスコントロールポリシーの設定」をご参照ください。

   

   重要

   侵害のリスクを軽減するため、Alibaba Cloud アカウントの AccessKey シークレットは作成時にのみ表示されます。後で取得することはできません。必ず安全に保管してください。