VPC アクセスによる DevOps 組織の設定 - Alibaba Cloud DevOps - Alibaba Cloud - Alibaba Cloud DevOps

組織の作成

Alibaba Cloud アカウントまたは Alibaba Cloud DevOps の管理者権限を持つ RAM ユーザーで Alibaba Cloud DevOps コンソールにログインします。

RAM ユーザーには、AliyunRDCFullAccess 権限が必要です。
左側メニューで、を選択します。
[Create Organization] をクリックし、次のパラメーターを設定します：

権限と課金の詳細については、「リージョンベース版の課金」をご参照ください。
- [Region]：組織を配置するリージョンを選択します。
- [Organization name]：組織名を入力します。この名前は作成後に変更できます。
- 組織 ID：組織のアクセスエンドポイントとメンバーアカウント ID サフィックスを生成する一意の識別子です。この ID は作成後に変更できません。
- [Collaboration mode]：エンタープライズコラボレーションモードとパーソナルモードから選択します。違いの詳細については、「コラボレーションモードの選択」をご参照ください。
- [Administrator account password]：組織のルートアカウントの初期パスワードです。
組織の作成後、インスタンスリストページでその名前をクリックして詳細ページを開きます。
[Access instance] をクリックして、組織のログインページを開きます。ログイン方法の詳細については、「アカウントとログイン」をご参照ください。

コラボレーションモード

リージョンベース版では、2 つのコラボレーションモードが提供されています。組織を作成する前に、チームの規模とセキュリティ要件に基づいてモードを選択してください。

モードの比較

機能	パーソナルモード	エンタープライズコラボレーションモード
対象ユーザー	スタートアップの開発チームまたは個人開発者向けです。	データセキュリティと標準化された開発プロセスに対する要件が高いエンタープライズ開発チーム向けです。
ログイン方法	ユーザー名とパスワード	ユーザー名とパスワード、またはシングルサインオン (SSO)
企業 ID プロバイダーとの統合	サポートされていません。	Alibaba Cloud RAM、SAML、Feishu、DingTalk、WeCom、CAS をサポートしています。エンタープライズコラボレーションモードでは、複数の ID プロバイダーを設定できます。管理者は、企業の ID システムに基づいて ID プロバイダータイプを選択および設定できます。
Virtual Private Cloud (VPC) アクセス	サポートされていません。	プライベートエンドポイントと企業 VPC との統合が可能です。
開発資産のバックアップ	サポートされていません。	コードリポジトリをバックアップできます。
IP アドレスホワイトリスト	サポートされていません。	IP アドレスホワイトリストを設定できます。
監査ログ	サポートされていません。	操作ログを ActionTrail にプッシュできます。

コラボレーションモードの選択方法

重要

パーソナルモードは、最大 5 ユーザーアカウントまで無料です。エンタープライズコラボレーションモードでは、ユーザーごとのライセンスが必要で、高度なエンタープライズ機能が利用可能になります。

個人開発者や小規模なスタートアップチームで、複雑なセキュリティ制御やエンタープライズ統合なしに Alibaba Cloud DevOps を迅速に試したい場合は、パーソナルモードを選択してください。
エンタープライズチームで次の機能が必要な場合は、エンタープライズコラボレーションモードを選択してください。
- 企業 ID システムとの統合ログイン (SSO)
- コード管理とパイプラインの VPC アクセス
- 操作監査とセキュリティコンプライアンス
- 開発資産のバックアップ

モードのアップグレードとダウングレード

エンタープライズモードへのアップグレード

Alibaba Cloud アカウントまたは Alibaba Cloud DevOps の管理者権限を持つ RAM ユーザーで Alibaba Cloud DevOps コンソールにログインします。
左側メニューで、を選択します。
インスタンスリストページで、組織名をクリックして詳細ページに移動します。
[Upgrade collaboration mode] をクリックして、アップグレードを完了します。

パーソナルモードへのダウングレード

ダウングレードするには、次の条件を満たす必要があります。

組織内のユーザー数を 5 人以下に減らしてください。余分なユーザーは削除または無効化します。
Alibaba Cloud DevOps からすべての企業 ID プロバイダー統合を削除してください。
VPC アクセスモードを無効にし、関連付けられているすべての VPC を削除してください。
現在のリージョン内の他の組織がパーソナルモードになっていないことを確認してください。

手順：

Alibaba Cloud アカウントまたは Alibaba Cloud DevOps の管理者権限を持つ RAM ユーザーで Alibaba Cloud DevOps コンソールにログインします。
左側メニューで、を選択します。
インスタンスリストページで、組織名をクリックして詳細ページに移動します。
をクリックします。ダウングレード要件が満たされていることを確認した後、確認チェックボックスをオンにし、[OK] をクリックします。

組織インスタンスの管理

組織の詳細ページでは、組織の基本情報、リソース使用状況、セキュリティ設定、ネットワーク設定を表示および管理できます。

組織の概要

[Overview] タブでは、次の情報を確認できます。

基本情報：
- [Instance Name]：組織名です。この名前は変更できます。
- [Instance ID]：組織の一意の ID です。この ID は変更できません。
- [Region]：組織が配置されているリージョンです。
- [Description]：組織の説明です。この説明は変更できます。
- [Creation Time]：組織が作成された時刻です。この時刻は変更できません。
- コラボレーションモード：組織のコラボレーションモードです。
インスタンス情報：
- パブリックエンドポイント：組織のパブリックアクセスエンドポイントです。
- プライベートエンドポイント：組織のプライベートアクセスエンドポイントです。
- ルートアカウントのステータス：ルートアカウントの ID (root_<組織 ID> の形式で生成) とステータスです。セキュリティ設定でルートアカウントを無効にできます。
- IP アドレスホワイトリスト：ホワイトリストのステータスです。セキュリティ設定で設定できます。
- ドメイン IP アドレス
- エグレス IP
サービス情報：DevOps サービスの注文とライセンスステータスです (エンタープライズコラボレーションモードでのみ利用可能)。

リソース使用状況

現在の組織インスタンスのリソース使用状況 (以下を含む) を表示できます。

コードストレージリソース
パイプラインビルドリソース

説明

リソース使用状況の統計はリアルタイムではなく、通常最大 1 時間遅延します。

セキュリティ設定

ルートアカウントの管理

ルートアカウントを有効または無効にできます。
ルートアカウントのパスワードを変更できます。このオプションは、ルートアカウントが有効な場合にのみ使用できます。

IP アドレスホワイトリスト

IP アドレスホワイトリストは、セキュリティを強化するために、特定の送信元 IP アドレスからの組織インスタンスへのアクセスを制限します。

IP アドレスホワイトリストを有効または無効にできます。
グループ管理機能で、異なるアクセスシナリオの IP 範囲を定義できます。
この機能を初めて有効にすると、システムは自動的にホワイトリストに 0.0.0.0/0 を入力します。これにより、デフォルトですべての IP アドレスからのアクセスが許可されます。
ホワイトリストを編集して、許可する IP アドレスまたは CIDR ブロックのみを含むように手動で設定できます。

監査ログ

組織の操作ログは、購入者の Alibaba Cloud アカウントの ActionTrail に自動的に送信されます。デフォルトでは、過去 90 日間のログをクエリできます。

ActionTrail では、次の設定が可能です。

Simple Log Service (SLS) または Object Storage Service (OSS) にログを保存する。
長期保存、クエリ、分析、コンプライアンス監査を有効にする。

ネットワーク設定

パブリックアクセスモード

新しい組織では、パブリックアクセスモードがデフォルトで有効になっています。
システムは組織にパブリックエンドポイントを割り当てます。このエンドポイントには、パブリックインターネット経由でのみアクセスできます。

VPC アクセスモード

VPC からプライベートエンドポイントにアクセスするには、VPC アクセスモードを有効にしてください。

組織の詳細ページに移動し、[Network settings] タブに切り替えます。
[Enable VPC access mode] チェックボックスをオンにします。
このモードを有効にすると、プライベートエンドポイントが組織に割り当てられます。このエンドポイントはパブリックインターネットからアクセスできず、関連付けられた VPC からのみアクセスできます。そのため、VPC の関連付けが必要です。
[Add VPC] をクリックし、[VPC] を選択して、セキュリティグループと少なくとも 1 つの vSwitch を関連付けます。ネットワークの可用性を確保するために、複数の vSwitch を追加できます。
VPC が関連付けられると、Alibaba Cloud DevOps は自動的にプライベート DNS レコードを追加します。これにより、VPC 内のエンドポイントが Alibaba Cloud DevOps プライベートエンドポイントを解決し、サービスに接続できるようになります。

重要

プライベートエンドポイントを有効にした後、Alibaba Cloud DevOps のパブリックエンドポイントを無効にする場合は、[IP アドレスホワイトリスト]を設定できます。まず、Virtual Private Cloud コンソールに移動し、Alibaba Cloud DevOps に関連付けられている VPC の詳細を表示して、その CIDR ブロックをコピーします。次に、組織の詳細ページの [Security settings] タブに戻り、CIDR ブロックをホワイトリストに追加します。

リバースアクセス IP

前の手順では、VPC から Alibaba Cloud DevOps へのアクセスが可能になります。Alibaba Cloud DevOps が VPC 内のサービス (自己ホスト型リポジトリや CI/CD 用の Kubernetes クラスターなど) にアクセスできるようにするには、リバースアクセスを設定してください。

組織の詳細ページに移動し、[Network settings] タブに切り替えます。
関連付けられた VPC のリストで、リバースアクセスを有効にする VPC を見つけます。[Reverse access IP] 列で [Manage] をクリックします。表示されるダイアログボックスで、VPC 内のエンドポイントの内部 IP アドレスとポートを追加します。
内部 IP アドレスが追加されると、Alibaba Cloud DevOps は自動的にマッピングされた IP アドレスを生成します。これにより、Alibaba Cloud DevOps サービスがマッピングを介して VPC 内の内部エンドポイントにアクセスできるようになります。
コードソースまたは Kubernetes クラスターを設定する際に、追加したリバースアクセス IP アドレスを選択して、Alibaba Cloud DevOps が VPC 内のシステムにアクセスできるように設定できます。

VPC によるパブリックアクセスの制限

組織を VPC 内からのみアクセス可能にし、パブリックインターネットからアクセスできないようにするには、次の手順に従ってください。

組織の詳細ページに移動し、[Network settings] タブに切り替えます。
[Enable VPC access mode] チェックボックスをオンにします。
[Add VPC] をクリックし、[VPC] を選択して、セキュリティグループと vSwitch を関連付けます。
Virtual Private Cloud コンソールに移動して、前の手順で設定した VPC の IP アドレス情報を確認します。
組織の詳細ページの [Security settings] タブで、取得した IP アドレスを IP アドレスホワイトリストに追加します。

組織の削除

重要

組織を削除すると、すべてのコードリポジトリ、パイプライン、部門、メンバーを含むすべてのデータが完全に消去されます。この操作は元に戻すことができません。慎重に実行してください。

削除に関する注意事項：

アクティブな有料サブスクリプションがある組織は削除できません。
組織は、サブスクリプションがキャンセルされるか期限切れになった後にのみ削除できます。その時点で、組織インスタンスは停止され、アクセスできなくなります。削除は元に戻すことができません。