SBクラウド株式会社logo

お問い合わせ

Resource Access Management

プロダクト紹介

Resource Access Managementとは

Resource Access Management (RAM) は、ユーザー ID の管理とアクセス制御のための Alibaba Cloud サービスです。 RAM を 使用すると、ユーザーアカウント (従業員、システム、アプリケーションなど) を作成および管理し、Alibaba Cloud アカウントのリソースに対してそのユーザーアカウントが所有する操作権限を制御できます。 企業の複数のユーザーが共同でリソースを操作する必要がある場合、 RAM により、Alibaba Cloud アカウントのアクセスキーを他のユーザーと共有する必要がなくなります。 ユーザーには作業に必要な最小限の権限を付与できるため、企業のセキュリティリスクが軽減されます。

ID 管理とアクセス制御

RAM を使用すると、Alibaba Cloud アカウントで複数のユーザー ID を作成および管理できます。また、異なる権限付与ポリシーを異なる ID や ID グループに割り当てて、 異なるリソースアクセス権限を異なるユーザーに付与することができます。

ID 管理

RAM ユーザー ID は、コンソールまたは Open API を使用して Alibaba Cloud リソースに対する操作を実行するユーザー、システム、またはアプリケーションを示します。 さまざまな適用シナリオにおける ID 管理に対応するために、RAM には RAM-User と RAM-Role の 2 つのユーザー ID タイプが用意されています。

  • RAM-User は、固定の ID と ID 認証アクセスキーを持つ実際の ID であり、 一般的には、特定のユーザーまたはアプリケーションに対応します。
  • RAM-Role は仮想 ID であり、固定の ID は持っていますが、ID 認証情報アクセスキーを持ちません。

RAM-Role を使用するには、実際の ID に関連付ける必要があります。 RAM-Role は複数の実際の ID と関連付けることができます。例：現在の Alibaba Cloud アカウントの RAM-User、 別の Alibaba Cloud アカウントの RAM-User、Alibaba Cloud サービス (例: EMR、MTS)、外部の実際の ID (例: ローカルエンタープライズアカウント) の RAM-Userなど。

権限付与

RAM を使用すると、Alibaba Cloud アカウントで複数の権限付与ポリシーを作成および管理できます。 基本的には、各権限付与ポリシーは権限のコレクションであり、 管理者が、1 つ以上の権限付与ポリシーを RAM ユーザー (RAM-User、RAM-Role など) に割り当てることができます。

RAM の権限付与ポリシー言語によって、権限付与ポリシーの内容を詳細に記述します。 ポリシーによって権限を API 操作とリソース ID に付与し、複数の制限 (例: ソース IP、アクセス時間、MFA) を指定できます。

Alibaba Cloud アカウントと RAM ユーザー

  • 所有権の観点に基づくと、Alibaba Cloud アカウントとそのアカウントの RAM ユーザーは親子関係にあります。
    • Alibaba Cloud アカウントは、Alibaba Cloud リソースの所有権とリソース消費の請求を確認するための基本エンティティです。
    • RAM ユーザーは、特定の Alibaba Cloud アカウントの RAM インスタンスにのみ存在します。 RAM ユーザーはリソースを所有しません。付与された権限でユーザーが作成したリソースは親アカウントに属します。 また、RAM ユーザーに課金されることもありません。許可された操作によって発生した費用はすべて、親アカウントに請求されます。
  • 権限の面では、Alibaba Cloud アカウントとそのアカウントの RAM ユーザーの間には、(Linux のように) root とユーザーの関係があります。
    • root はリソースに対するすべての操作と制御の権限を持ちます。
    • RAM ユーザーは root によって付与された権限しか持ちません。 さらに、root はユーザーに付与した権限をいつでも取り消すことができます。

RAM を使用してエンタープライズレベルのクラウドリソース管理

RAM は、次のエンタープライズシナリオに適用されます

  • エンタープライズは、各オペレータ（またはアプリケーション）のアカウントと権限を簡単に管理する必要があります。
  • 企業は、各オペレーター（またはアプリケーション）の費用と料金を別々に計算したくありません。

ラーニングパス

RAMの専門家になるために必要な知識は、RAM ラーニングパス を参考してください。

基本概念

サービスの理解を深めるため、RAM の関連概念について説明します。

Alibaba Cloud アカウント

Alibaba Cloud アカウント (プライマリアカウント) は、Alibaba Cloud リソースの所有権とリソース消費の請求を確認するための基本エンティティです。 Alibaba Cloud サービスを使用するには、先に Alibaba Cloud アカウントに登録しておく必要があります。 Alibaba Cloud アカウントには、そのアカウントのリソースすべての料金が請求され、そのリソースに対する完全な権限が付与されています。

デフォルトでは、リソースにアクセスできるのはリソースオーナーだけです。 他のユーザーがリソースにアクセスするには、オーナーから明示的に権限が付与されていなければなりません。 したがって、権限管理の観点から見た場合、Alibaba Cloud アカウントは、オペレーティングシステムの root または管理者アカウントと似ており、root アカウント、 プライマリアカウント とも呼ばれます。

Alibaba Cloud アカウントのエイリアス

RAM では、各 Alibaba Cloud アカウントにグローバルに一意なエイリアスを設定できます。 エイリアスは主に RAM ユーザーのログオンに使用され、正常にログオンすると表示されます。

たとえば、Alibaba Cloud アカウント admin@abc.com に対してエイリアス abc.com が設定されている場合、RAM ユーザー Alice が Alibaba Cloud コンソールに正常にログオンすると、表示名は alice@abc.com になります。 alice@abc.com.

ID 資格情報

ID 資格情報は、ユーザーの実際の ID を認証するときに使用され、 通常は、ユーザーのログオンパスワードまたはアクセスキーを指します。 機密情報であるため、だれにも知られないようにする必要があります。

  • ログオン名/パスワードログオン名とパスワードを使用すると、Alibaba Cloud コンソールへのアクセス、注文内容または請求書の確認、リソースの購入、リソース操作の実行を行うことができます。
  • アクセスキーアクセスキーを使用すると、リソース操作を実行するための API リクエストを作成 (またはクラウドサービス SDK を使用) できます。
  • 多要素認証多要素認証 (MFA) は、 ユーザー名とパスワードのほかに追加のセキュリティ保護を提供できる、シンプルながらも効果的なベストプラクティスです。 MFA を有効にすると、 ユーザーは Alibaba Cloud Web サイトにログオンするとき、ユーザー名とパスワード (1 番目のセキュリティ要素) を入力した後に、MFA デバイスによって提供される毎回変わる認証コード (2 番目のセキュリティ要素) を入力する必要があります。 このすべての要素が連携することで、アカウントのセキュリティ保護がさらに強化されます。

RAM ユーザー

RAM では、(企業の従業員、システム、アプリケーションに対応する) 複数の RAM ユーザーを Alibaba Cloud アカウントで作成できます。 RAM ユーザーはリソースを所有せず、個別に課金されることはありません。 ユーザーの管理と支払いは Alibaba Cloud アカウントごとに行われます。 RAM ユーザーは Alibaba Cloud アカウントに属しており、このアカウントでのみ表示できます。 また、独立した Alibaba Cloud アカウントではありません。 Alibaba Cloud アカウントから権限付与された後にのみ、Alibaba Cloud アカウントの下で、コンソールにログオンすることや、API を使用してリソースで操作を実行することができます。

RAMは、RAM-UserとRAM-Roleの2種類のIDをサポートします。

  • RAM-Userは、IDが固定されたIDであり、 一般に特定の人物やアプリケーションに対応します。
  • RAMロールは、固定アイデンティティクレデンシャルを持たない仮想アイデンティティです。 RAMロールは、実際のIDに関連付けて使用可能にする必要があります。

RAM ロール

伝統的なロール（テキストブックのロール）は一連のアクセス許可の集まりで、RAMのポリシーと 似たものです。 ユーザーにロールが割り当てられている場合、ユーザーには一連のアクセス許可が与えられ、ユーザーは認可されたリソースにアクセスすることが可能です。

RAMのロールはテキストブックのロールとは異なります。 RAMロールは仮想ユーザー（またはシャドウアカウント）で、 RAMユーザーの一種です。 このタイプの仮想ユーザーは固定IDを持ち、アクセス許可のセットを割り当てることもできます（ポリシー）が、ユーザーには固定ID認証キー（ログオンパスワードまたはアクセスキー）が無い状態です。 RAMロールと通常のRAMユーザーの違いは、使用方法にあります。 RAMロールは権限付与されたエンティティユーザーによってプレイする必要があります。 プレイが成功したら、エンティティユーザーはRAMロールの一時的なセキュリティトークンを取得できます。 一時的なセキュリティトークンを使用して、ロールアイデンティティとして認可されたリソースにアクセスすることが可能です。

RAMロールとテキストブックロールの違いは次のとおりです。

  • （類似点）　RAMロールとテキストブックロールは両方とも権限セットにバインドできます。
  • （相違点）　RAM-Role は仮想 ID またはシャドウアカウントであり、 独立した ID を持ちます。 RAMロールには権限をバインドし、このロールのユーザーのリスト (ロールプレイヤー) を指定する必要があります。 RAMロールは、主に、 IDフェデレーションの問題を解決するときに使用されます。 テキストブックロールは、一般的には権限セットのみを示します。 これは ID ではなく、主に権限付与の管理を簡素化する目的で使用されます。
    RAMロールのロール 想定と切り替え
  • ログオン ID からロール ID への切り替え (SwitchRole)：このロールに既に関連付けられている実際のユーザー (RAM-User など) は、コンソールにログオンした後に、 ロールへの切り替えが可能です。 ロールへの切り替えは、一度に 1 ロールずつ行う必要があります。 ログオン ID からロール IDに切り替えると、 使用できるのはそのロール ID にバインドされている権限だけになり、 ログオン ID にバインドされている権限は使用できなくなります。 ログオン ID の権限を使用する必要がある場合は、ロール ID からログオン ID に戻す必要があります。
  • ロールを引き受けるプログラムの呼び出し (AssumeRole)：RAMロールに関連付けられている実際のユーザー (RAMユーザーなど) は、 アクセスキーを使って STS サービスの AssumeRole インターフェイスを呼び出して、この RAMロールの一時的な アクセスキーを入手できます。 一時的なアクセスキーには有効期間と制限付きアクセス権限があります (ロールにバインドされている権限セットを超えることはありません)。 一般的に、一時的なアクセスキーは、一時的な権限付与の問題を解決するときに使用されます。

リソース

リソースは、クラウドサービスからユーザーに提供されるオブジェクトを抽象化したもので、ユーザーとのやり取りに使用されます。OSS バケットやオブジェクト、ECS インスタンスなどがあります。

各リソースには、グローバル Alibaba Cloud Resource Name (ARN) が定義されています。 形式は次のとおりです。

acs:<service-name>:<region>:<account-id>:<resource-relative-id>

形式の説明
  • acs: Alibaba Cloud Service の略語です。Alibaba Cloud パブリッククラウドプラットフォームを示します。
  • service-name: Alibaba Cloud が提供するオープンサービスの名前です (ecs、oss、odps など)。
  • region: リージョン情報です。 このオプションに対応していない場合は、代わりにワイルドカード “*” を使用します。
  • account-id: アカウント ID です 例: 1234567890123456
  • resource-relative-id: サービス関連のリソースです。 その意味は特定のサービスによって指定されます。 たとえば OSS の場合、 acs:oss::1234567890123456:sample_bucket/file1.txt は、 パブリッククラウドプラットフォームの OSS リソースであることを示します。ここで、sample_bucket/file1.txtは OSS オブジェクト名で、1234567890123456 はオブジェクトオーナーです。

権限

権限を使用すると、特定のクラウドリソースに対する特定のユーザー操作を許可または禁止できます。

操作は、主に、リソース制御操作とリソース使用操作の 2 つのカテゴリに分類できます。

  • リソース制御操作とは、ECS インスタンスの作成、停止、再起動、OSS バケットの作成、変更、削除など、クラウドリソースのライフサイクル管理や O&M 管理の操作を指します。 リソース制御操作は、一般的に、組織のリソース購入者や O&M 担当者を対象としています。
  • リソース使用操作とは、ECS インスタンスオペレーティングシステムでのユーザー操作、OSS バケットデータのアップロード/ダウンロードなど、 リソースのコア機能の使用を指します。 リソース使用操作は、組織の R&D 担当者やアプリケーションシステムを対象としています。

注：エラスティックコンピューティングプロダクトやデータベースプロダクトの場合、リソース制御操作は RAM を使用して管理できますが、 リソース使用操作は各プロダクトインスタンスで管理できます。 (例：ECS インスタンスの OS 権限制御、MySQL データベースの権限制御など)。 OSS、Table Store などのストレージタイプのプロダクトについては、 リソース制御操作とリソース使用操作の両方を RAM で管理できます。

ポリシー

ポリシーとは、権限セットを記述するシンプルな言語仕様のタイプです。 RAM がサポートする言語仕様については、ポリシー構文の構造 を参照してくださいポリシーの構文構造。 RAM は、システムアクセスポリシーとカスタマイズアクセスポリシーの 2 種類の権限付与ポリシーに対応しています。

  • Alibaba Cloud によって管理されているシステムアクセスポリシーは、使用できますが、変更することはできません。 システムアクセスポリシーのバージョンは自動的に更新されます。
  • お客様が管理するカスタマイズアクセスポリシーについては、作成したり削除したりできます。 また、ポリシーのバージョンは、お客様自身で管理する必要があります。

使用制限

リソース 制限
ユーザー数 100
グループ数 50
RAMユーザーが参加できるグループ数 5
RAMユーザーが作成できるAccessKey数 2
RAMユーザーが使用できるバーチャルMFAデバイス数 1
バーチャルMFAデバイス総数 100
カスタムポリシー総数 200
カスタムポリシーのバージョン数 5
ユーザーに権限付与ポリシーを付けられる数 5
グループに権限付与ポリシーを付けられる数 5
ユーザー名の長さ 64
グループ名の長さ 64
権限付与ポリシー名の長さ 128
ロール名の長さ 64
ロール数 100
エイリアスの長さ 3-64
カスタムポリシーの長さ 2048

RAM をサポートする Alibaba Cloud サービス

このトピックでは、Resource Access Management (RAM) と Security Token Service (STS) をサポートする Alibaba Cloud サービス、各サービスでサポートされている許可レベルとポリシー、およびサービスへのリンクを示します。

RAM と統合されているプロダクトの場合、次の許可レベルに従って、適切な権限が RAM ユーザーに付与されます。

  • サービス：RAM ユーザーはクラウドサービスレベルで許可されます。 RAM ユーザーは、クラウドサービスに対するフル操作権限を持つか、操作権限を一切持たないかのいずれかです。
  • 操作：RAM ユーザーは、API レベルで許可されます。 RAM ユーザーは、特定のクラウドサービス上の特定のリソースに対して特定の操作を実行できます。
  • リソース：RAM ユーザーは、リソース操作レベルで許可されます。 たとえば、クラウドサーバーを再起動する権限を RAM ユーザーに付与できます。 「リソース」は、RAM の中で最も細かい許可レベルです。

サポートされるサービス

次の表は、RAM と STS をサポートするクラウドサービスの詳細、および参照情報を示しています。

注：二重丸印(◎)は使用できる機能、バツ印 (×) は使用できない機能、丸印 (○) は適用されない機能であることを示します。

エラスティックコンピューティング

サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Elastic Compute Service (ECS) ◎ ◎ ◎ ◎ リソース
  • AliyunECSFullAccess
  • AliyunECSReadOnlyAccess
  • AliyunECSNetworkInterfaceManagementAccess
 Authorization rules
Auto Scaling ◎ ◎ ◎ ◎ サービス
  • AliyunESSFullAccess
  • AliyunESSReadOnlyAccess
 API usage instructions
Container Service ◎ ◎ × ◎ サービス
  • AliyunCSFullAccess
  • AliyunCSReadOnlyAccess
 サブアカウントの使用
Container Registry ◎ ◎ × × リソース
  • AliyunContainerRegistryFullAccess
  • AliyunContainerRegistryReadOnlyAccess
 リポジトリアクセス制御
Resource Orchestration Service ◎ ◎ ◎ ◎ サービス
  • AliyunROSFullAccess
  • AliyunROSReadOnlyAccess
 RAM を使用してリソースアクセスを制御
Batch Compute ◎ ◎ ◎ ◎ サービス N/A N/A
Function Compute ◎ ◎ ◎ ◎ リソース
  • AliyunFCFullAccess
  • AliyunFCInvocationAccess
  • AliyunFCReadOnlyAccess
 サブアカウントユーザーガイド
E-HPC ◎ ◎ ◎ ◎ サービス
  • AliyunEHPCFullAccess
  • AliyunEHPCReadOnlyAccess
 N/A
Simple Application Server ◎ ○ × ○ サービス AliyunSWASFullAccess N/A
Elastic Container Instance ◎ ◎ ◎ ◎ リソース
  • AliyunECIFullAccess
  • AliyunECIReadOnlyAccess
 N/A

データベース

サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
ApsaraDB for RDS ◎ ◎ ◎ ◎ リソース
  • AliyunRDSFullAccess
  • AliyunRDSReadOnlyAccess
 RAM authorization
ApsaraDB for MongoDB ◎ ◎ ◎ ◎ リソース
  • AliyunMongoDBFullAccess
  • AliyunMongoDBReadOnlyAccess
 N/A
ApsaraDB for Redis ◎ ◎ ◎ ◎ リソース
  • AliyunKvstoreFullAccess
  • AliyunKvstoreReadOnlyAccess
 RAM の権限付与
ApsaraDB for Memcache ◎ ◎ ◎ ◎ サービス
  • AliyunOCSFullAccess
  • AliyunOCSReadOnlyAccess
 N/A
Time Series & Spatial Temporal Database ◎ ◎ ◎ ◎ 操作 N/A N/A
HybridDB for PostgreSQL ◎ ◎ ◎ ◎ リソース
  • AliyunGPDBFullAccess
  • AliyunGPDBReadOnlyAccess
 API の権限付与ルール
Data Transmission Service ◎ ◎ × × サービス
  • AliyunDTSFullAccess
  • AliyunDTSReadOnlyAccess
 サブアカウントによる DTS へのアクセス
Database Backup ◎ ◎ ◎ ◎ サービス
  • AliyunDBSFullAccess
  • AliyunDBSReadOnlyAccess
 N/A
Distributed Relational Database Service ◎ ◎ ◎ ◎ リソース
  • AliyunDRDSReadOnlyAccessyAccess
  • AliyunDRDSFullAccess
 N/A

ストレージと CDN

サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Object Storage Service ◎ ◎ ◎ ◎ リソース
  • AliyunOSSFullAccess
  • AliyunOSSReadOnlyAccess

RAM ポリシー
Network Attached Storage ◎ ○ × ○ 操作
  • AliyunNASFullAccess
  • AliyunNASReadOnlyAccess
 権限グループの使用
Table Store ◎ ◎ ◎ ◎ リソース
  • AliyunOTSFullAccess
  • AliyunOTSReadOnlyAccess
  • AliyunOTSWriteOnlyAccess
 権限のカスタマイズ
Alibaba Cloud CDN ◎ ◎ ◎ ◎ リソース
  • AliyunCDNFullAccess
  • AliyunCDNReadOnlyAccess
 API 権限付与ルール
Dynamic Route for CDN ◎ ◎ ◎ ◎ リソース
  • AliyunDCDNFullAccess
  • AliyunDCDNReadOnlyAccess
 N/A
Cloud Storage Gateway ◎ ○ × ○ サービス AliyunHCSSGWFullAccess N/A
Hybrid Backup Recovery ◎ ○ × ○ リソース
  • AliyunHBRFullAccess
  • AliyunHBRReadOnlyAccess
 N/A
Lightning Cube ◎ ○ × ○ サービス AliyunMGWFullAccess N/A

ネットワーク

サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Virtual Private Cloud ◎ ◎ ◎ ◎ リソース
  • AliyunVPCFullAccess
  • AliyunVPCReadOnlyAccess
 RAM の権限付与
Server Load Balancer ◎ ◎ ◎ ◎ リソース
  • AliyunSLBReadOnlyAccess
  • AliyunSLBFullAccess
 RAM の権限付与
Elastic IP Address ◎ ◎ ◎ ◎ リソース
  • AliyunEIPFullAccess
  • AliyunEIPReadOnlyAccess
 RAM の権限付与
Express Connect ◎ ◎ ◎ ◎ リソース
  • AliyunExpressConnectFullAccess
  • AliyunExpressConnectReadOnlyAccess
 RAM の権限付与
NAT Gateway ◎ ◎ ◎ ◎ リソース
  • AliyunNATGatewayReadOnlyAccess
  • AliyunNATGatewayFullAccess
 RAM の権限付与
VPN Gateway ◎ ◎ ◎ ◎ リソース
  • AliyunVPNGatewayFullAccess
  • AliyunVPNGatewayReadOnlyAccess
 RAM の権限付与
Global Acceleration ◎ ◎ ◎ ◎ リソース
  • AliyunGlobalAccelerationReadOnlyAccess
  • AliyunGlobalAccelerationFullAccess
 RAM の権限付与
Cloud Enterprise Network ◎ ◎ × × リソース
  • AliyunCENReadOnlyAccess
  • AliyunCENFullAccess
 RAM の権限付与

分析

サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
E-MapReduce ◎ ◎ × × サービス
  • AliyunEMRFullAccess
  • AliyunEMRDevelopAccess
  • AliyunEMRFlowAdmin
 N/A
Data Lake Analytics ◎ ◎ × × 操作
  • AliyunDLAFullAccess
  • AliyunDLAReadOnlyAccess
 N/A

クラウド通信

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Message Service ◎ ◎ × × リソース
  • AliyunMNSFullAccess
  • AliyunMNSReadOnlyAccess
 N/A
Short Message Service ◎ ◎ ◎ ◎ サービス N/A N/A

マネジメントとモニタリング

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
CloudMonitor ◎ ◎ ◎ ◎ サービス
  • AliyunCloudMonitorFullAccess
  • AliyunCloudMonitorReadOnlyAccess
 CloudMonitor 用の RAM
ActionTrail ◎ ◎ ◎ ◎ リソース N/A RAM アカウントへの権限付与
Resource Access Management ◎ ◎ ◎ ◎ リソース
  • AliyunRAMFullAccess
  • AliyunRAMReadOnlyAccess
 RAM 認証
Key Management Service ◎ ◎ ◎ ◎ リソース
  • AliyunKMSFullAccess
  • AliyunKMSReadOnlyAccess
  • AliyunKMSCryptoAccess
 RAM を使用した KMS リソース認証
Intelligent Advisor N/A N/A N/A N/A 操作 N/A N/A

アプリケーションサービス

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Log service ◎ ◎ ◎ ◎ リソース
  • AliyunLogFullAccess
  • AliyunLogReadOnlyAccess
 権限付与ルール
DirectMail ◎ ◎ ◎ ◎ サービス
  • AliyunDirectMailFullAccess
  • AliyunDirectMailReadOnlyAccess
 N/A
API Gateway ◎ ◎ ◎ ◎ サービス
  • AliyunApiGatewayFullAccess
  • AliyunApiGatewayReadOnlyAccess
 ApiGateway_RAM
IoT Platform ◎ ◎ ◎ ◎ リソース
  • AliyunIOTFullAccess
  • AliyunIOTReadOnlyAccess
 RAM ユーザーの使用
Blockchain as a Service ◎ ◎ ◎ ◎ リソース N/A N/A

ミドルウェア

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Enterprise Distributed Application Service ◎ ◎ × × サービス AliyunEDASFullAccess サブアカウント
Distributed Relational Database Service ◎ ◎ × ◎ リソース
  • AliyunDRDSFullAccess
  • AliyunDRDSReadOnlyAccess
 N/A
Application Real-Time Monitoring Service ◎ ◎ × × サービス AliyunARMSFullAccess N/A
Application Configuration Management ◎ ◎ ◎ ◎ リソース AliyunACMFullAccess アクセス制御

メッセージキュー

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
AliwareMQ for RocketMQ ◎ ◎ × ◎ リソース
  • AliyunMQFullAccess
  • AliyunMQPubOnlyAccess
  • AliyunMQSubOnlyAccess
 サブアカウントへの許可の付与
Message Service ◎ ◎ × ◎ リソース
  • AliyunMNSFullAccess
  • AliyunMNSReadOnlyAccess
 N/A

メディアサービス

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
ApsaraVideo for Media Processing ◎ ◎ × ◎ サービス
  • AliyunMTSFullAccess
  • AliyunMTSPlayerAuth
 サブアカウントコンソールの操作説明
ApsaraVideo for VOD ◎ ◎ ◎ ◎ サービス AliyunVODFullAccess N/A
ApsaraVideo for Live ◎ ◎ × ◎ リソース AliyunLiveFullAccess API 権限付与ルール
Real-Time Communication ◎ ◎ × × リソース N/A N/A

ビッグデータ (DTplus)

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
DataWorks ◎ ◎ × × サービス AliyunDataWorksFullAccess RAM ユーザー操作
Quick BI ◎ ◎ × × サービス N/A N/A
Machine Learning ◎ ◎ × × サービス N/A N/A
Public Recognition ◎ ◎ × × サービス N/A N/A
DataV ◎ ◎ × × サービス N/A N/A
MaxCompute ◎ ◎ × × サービス N/A N/A
Elasticsearch ◎ ◎ ◎ ◎ リソース
  • AliyunElasticsearchReadOnlyAccess
  • AliyunElasticsearchFullAccess
 許可されているリソース
Machine Translation N/A N/A N/A N/A サービス N/A N/A
Image Search ◎ ◎ ◎ ◎ リソース
  • AliyunImagesearchReadOnlyAccess
  • AliyunImagesearchFullAccess
 許可ポリシー

セキュリティ

サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Threat Detection Service ◎ ○ ◎ ○ サービス
  • AliyunYundunSASFullAccess
  • AliyunYundunSASReadOnlyAccess
 N/A
Server Guard ◎ ○ ◎ ○ サービス
  • AliyunYundunAegisFullAccess
  • AliyunYundunAegisReadOnlyAccess
 N/A
Anti-DDoS Basic ◎ ○ ◎ ○ サービス
  • AliyunYundunDDosFullAccess
  • AliyunYundunDDosReadOnlyAccess
 N/A
Anti-DDoS Pro ◎ ○ ◎ ○ サービス
  • AliyunYundunDDosFullAccess
  • AliyunYundunDDosReadOnlyAccess
 N/A
Anti-DDoS Premium ◎ ○ ◎ ○ サービス
  • AliyunYundunAntiDDoSPremiumFullAccess
  • AliyunYundunAntiDDoSPremiumReadOnlyAccess
 N/A
GameShield ◎ ○ ◎ ○ サービス AliyunYundunGameShieldReadOnlyAccess N/A
Web Application Firewall ◎ ○ ◎ ○ サービス
  • AliyunYundunWAFFullAccess
  • AliyunYundunWAFReadOnlyAccess
 N/A
SSL Certificates Service ◎ ○ ◎ ○ サービス
  • AliyunYundunCertFullAccess
  • AliyunYundunCertReadOnlyAccess
 N/A
Cloud Firewall N/A N/A N/A N/A サービス N/A N/A
Website Threat Inspector ◎ ○ ◎ ○ サービス N/A N/A
Content Moderation ◎ ○ ◎ ○ サービス AliyunYundunGreenWebFullAccess N/A
Anti-Bot Service ◎ ○ ◎ ○ サービス
  • AliyunYundunAntibotFullAccess
  • AliyunYundunAntibotReadOnlyAccess
 N/A

Marketplace

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Marketplace ◎ ○ ◎ ○ サービス AliyunMarketplaceFullAccess N/A

ドメインとホスティング

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Alibaba Cloud DNS ◎ ○ ◎ ○ リソース
  • AliyunDNSFullAccess
  • AliyunDNSReadOnlyAccess
 N/A
Web Hosting × × × × N/A N/A N/A
Alibaba Mail × × × × N/A N/A N/A

課金管理

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Billing Management ◎ × × × サービス
  • AliyunBSSFullAccess
  • liyunBSSReadOnlyAccess
  • AliyunBSSOrderAccess
 N/A

サポート

サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
サポート ◎ ○ × ○ サービス AliyunSupportFullAccess N/A

メッセージ

 
サービス RAM コンソールからのアクセス RAM API からのアクセス STS コンソールからのアクセス STS API からのアクセス 認可レベル (最小) システムポリシー 参照情報
Message Center ◎ ○ × ○ サービス AliyunNotificationsFullAccess N/A

クイックスタート

概要

このドキュメントでは、 Resource Access Management （RAM）を開始するために実行するべきタスクを説明します。

RAM ユーザーのセキュリティポリシーの設定

このトピックでは、Alibaba Cloud アカウント配下の RAM ユーザーのセキュリティポリシーを設定して、RAM ユーザーの権限を管理しやすくする方法について説明します。

手順

  1. RAM コンソールにログインします。
  2. [アイデンティティ] ＞ [設定] を選択します。
  3. [セキュリティ設定] タブで、[RAM ユーザーセキュリティ設定の更新] をクリックし、関連するパラメーターを設定します。
    • MFA ログイン状態を 7 日間保持する：RAM ユーザーの多要素認証 (MFA) ログインステータスを保持するかどうかを指定します。 デフォルト値は [拒否済み] です。 [許可] を選択した場合、MFA ログインステータスは 7 日間保持されます。
    • パスワードの管理：RAM ユーザーが自分のパスワードを変更できるかどうかを指定します。
    • AccessKey の管理：RAM ユーザーが自分の AccessKey を管理できるかどうかを指定します。
    • MFA デバイスの管理：RAM ユーザーが MFAデ バイスを有効または無効にできるかどうかを指定します。
    • ログインセッションの有効期間：ログインセッションの有効期間。 単位は時間です。
    • ログインアドレスマスク：ログインに使用できない IP アドレスを指定します。 このパラメーターはデフォルトでは指定されていません。 つまり、すべての IP アドレスをログインに使用できます。 このパラメーターを指定した場合、パスワードやシングルサインオン (SSO) を使用してコンソールにログインすることはできません。 ただし、Access Key を使用して API を呼び出すことができます。 ログインマスクの設定方法については、「Alibaba Cloud アカウントのログインマスクの設定」をご参照ください。
    • [OK] をクリックします。

      注 セキュリティポリシーの設定は、Alibaba Cloud アカウント配下のすべての RAM ユーザーに適用されます。

RAM ユーザーへの権限付与

このトピックでは、RAM ユーザーに権限を付与する方法について説明します。 RAM ユーザーは、関連する権限を取得した後、Alibaba Cloud リソースにアクセスできるようになります。

手順

  1. RAM コンソール にログインします。
  2. [権限] ＞ [権限付与] を選択します。
  3. [権限の付与] をクリックします。
  4. [プリンシパル] フィールドに、ユーザー名またはユーザー ID を入力し、対象の RAM ユーザーをクリックします。

    注：キーワードを入力して、特定のユーザー名を検索することもできます。

  5. [ポリシー名] 列で、対象のポリシーを選択し、[OK] をクリックします。

    注：選択を解除するには、[X] をクリックします。

RAM ユーザーログイン

このトピックでは、RAM ユーザーがコンソールにログインするための URL と方法を説明します。

ログイン URL

RAM ユーザーのログイン URL は、Alibaba Cloud アカウントのログイン URL とは異なります。

RAM ユーザーのログイン URLは、RAM ユーザーログイン URL です。

注：AM コンソールの [概要] ページで、RAM ユーザーログイン URL を取得することもできます。

ログイン方法

[RAM ユーザーログイン] ページで、以下のいずれかの方法でコンソールにログインできます。

  • UPN 形式：<$username>@<$AccountAlias>.onaliyun.com (例：username@company-alias.onaliyun.com)

    注：<$username> は RAM ユーザーのユーザー名、<$AccountAlias>.onaliyun.com はデフォルトのドメイン名です。

  • <$username>@<$AccountAlias> (例：username@company-alias)

    注：<$username> は RAM ユーザーのユーザー名、<$AccountAlias> はアカウントのエイリアスです。