Key Management Service:複数のアカウント間で KMS インスタンスを共有する

ステップ 1: リソースディレクトリを準備し、組織内共有を有効にする

1. Resource Directory の有効化:

   1. コンソールへのログイン

      管理アカウントを使用して Resource Management コンソール にログインします。

   2. Resource Directory の有効化

      左側のナビゲーションウィンドウで、[Resource Directory] > [リソースディレクトリを有効にする] を選択します。 [リソースディレクトリを有効にする] をクリックします。 詳細な手順については、「リソースディレクトリを有効にする」をご参照ください。

   3. フォルダの作成

      左側のナビゲーションウィンドウで、[Resource Directory] > [管理] を選択します。表示されたページの右上隅にある [リソース組織図] をクリックします。左側のリソースディレクトリツリーで、ターゲットフォルダをクリックします。[メンバー] タブで、[フォルダの作成] をクリックします。[フォルダ名] を入力し、[OK] をクリックします。 詳細な手順については、「フォルダを作成する」をご参照ください。

   4. メンバーの設定

      [メンバー] タブで、[メンバーの作成] または [メンバーの招待] をクリックし、「メンバーを作成する」、「Alibaba Cloud アカウントをリソースディレクトリに招待する」、および「メンバーを移動する」の指示に従って、アカウント名、アカウント ID、請求先アカウントなどの情報を設定します。

      メンバーの招待

      パラメーター	説明
      アカウント ID またはログインメールアドレス	アカウント ID: ID を取得するには、「Alibaba Cloud アカウントの ID を表示する方法」をご参照ください。 ログインメール: アカウントの登録に使用したメールアドレス。アカウントにログインメールが関連付けられていない場合は、代わりにアカウント ID を入力します。 複数のアカウント ID をカンマ (,) で区切って入力し、一括で招待できます。
      備考	招待者が招待の信頼性を確認し、承認を迅速に行えるように、招待の備考を入力します。
      タグ	タグベースの管理を容易にするために、メンバーにタグをバインドします。
      親フォルダ	アカウントが属するフォルダ。デフォルトでは、招待されたアカウントはルートフォルダに配置されます。必要に応じて、[変更] をクリックしてメンバーを別のフォルダに移動します。これは招待が承諾された後でも変更できます。

      メンバーの作成

      パラメーター	説明
      Alibaba Cloud アカウント名	Alibaba Cloud アカウント名はメンバーの一意の識別子であり、リソースディレクトリ内で一意である必要があります。 名前は 2～50 文字の長さで、文字、数字、および特殊文字 _.- を含めることができます。文字または数字で始まり、終わり、連続する特殊文字 _.- を含めることはできません。
      表示名	表示名は 2～50 文字の長さで、漢字、文字、数字、および特殊文字 _.- を含めることができます。
      請求先アカウント	新しいメンバーの料金を支払う責任があるアカウントを設定します。 [新しいメンバーの決済に管理アカウントを使用]: Resource Directory の管理アカウントを請求先アカウントとして指定します。 [新しいメンバーの決済に既存のメンバーを使用]: Resource Directory の既存のメンバーを請求先アカウントとして指定します。[既存のメンバーを選択] パネルで、ディレクトリツリーからメンバーを選択します。 説明 支払いができないメンバーは選択できません。詳細については、「概要」をご参照ください。 [新しいメンバー自身を決済に使用]: 現在のメンバーを自身の請求先アカウントとして指定します。
      タグ	タグベースの管理を容易にするために、メンバーにタグをバインドします。
      親フォルダ	デフォルトでは、作成されたメンバーはルートフォルダに配置されます。必要に応じて、[変更] をクリックしてメンバーを別のフォルダに移動します。これはメンバーが作成された後でも変更できます。

2. リソース共有の有効化

   リソース共有を有効にすると、管理アカウントまたはメンバーであるリソース所有者が、リソースディレクトリ全体、そのフォルダ、または特定のメンバーとリソースを共有できます。詳細については、「リソースディレクトリでリソース共有を有効にする」をご参照ください。

   1. Resource Directory の管理アカウントを使用して リソース共有コンソール にログインします。左側のナビゲーションウィンドウで、[リソース共有] > [設定] を選択します。

   2. [有効化] をクリックし、[リソース共有のサービスリンクロール] ダイアログボックスで [OK] をクリックします。

      説明

      システムは、Resource Directory から組織情報を取得するために、AliyunServiceRoleForResourceSharing という名前のサービスリンクロールを自動的に作成します。詳細については、「リソース共有のサービスリンクロール」をご参照ください。

ステップ 2: 共有 KMS インスタンスを設定する

このセクションでは、リソース所有者が 1 つ以上のプリンシパルと KMS インスタンスを共有する方法について説明します。

1. コンソールへのログイン

   インスタンス所有者として Key Management Service コンソール にログインします。上部のメニューバーでリージョンを選択し、左側のナビゲーションウィンドウで インスタンス管理 をクリックします。

2. 共有モードの選択

   インスタンス管理 ページで、ターゲットの KMS インスタンスを見つけ、操作 列の Share Resources をクリックします。RDマルチアカウント共有设定 パネルで、共有モードを選択します。

3. 共有ユニットの設定

   [共有ユニットに追加] パネルで、既存の共有ユニットを選択するか、新しい共有ユニットを作成します。

   比較	作成 (推奨)	既存の共有ユニットを選択
   ユースケース	初めて共有する場合や、権限を隔離する必要がある場合に使用します。	現在のインスタンスを既存の共有ユニットに追加し、そのプリンシパルと権限を再利用する場合に使用します。
   機能	権限の隔離: 独立した権限を持つ現在の KMS インスタンスのみを含みます。 コントロールの範囲: 新しく追加されたアカウントのみが共有インスタンスを使用できます。	権限の共有: 共有ユニットのすべての既存のプリンシパルは、新しいインスタンスへのアクセスを自動的に取得し、インスタンスのアクセス管理クォータを消費します。 この共有ユニットへの権限の変更は、その中のすべてのリソースに影響します。 コントロールの範囲: 元のプリンシパルと新しく追加されたアカウントの両方が共有インスタンスを使用できます。 警告 これにより、意図しない権限昇格やクォータの消費につながる可能性があります。注意して進めてください。

4. 共有パラメーターの設定

   選択したメソッドに対して以下の設定を指定し、OK をクリックします。

   作成 (推奨)

   • 共有ユニット名

     名前は最大 50 文字で、漢字、文字、数字、および次の特殊文字を含めることができます: ., _, -。

   • プリンシパル

     この KMS インスタンスを使用できるアカウントを指定します。

     重要

     • 詳細なコントロールのため、フォルダまたは Alibaba Cloud アカウントで追加することをお勧めします。追加するたびに、インスタンスの アクセス管理クォータ が消費されます。

     • 既存の共有ユニットからプリンシパルを追加または削除すると、その変更はその共有ユニット内の すべてのリソース に影響します。

     次の 3 種類のプリンシパルを追加します:

     • [Alibaba Cloud アカウント]: 指定された Alibaba Cloud アカウント (ID) とのみリソースを共有します。

     • [リソースディレクトリ組織]: 後で追加されるメンバーを含む、リソースディレクトリ全体のすべてのメンバーアカウントとリソースを共有します。

     • [フォルダ (組織単位)]: フォルダ ID を入力して、後で追加されるメンバーを含む、フォルダ内のすべてのメンバーとリソースを共有します。フォルダ ID のフォーマットは fd-xxxxxxxx です。フォルダ情報を表示するには、「フォルダの基本情報を表示する」をご参照ください。

   • 権限の追加

     プリンシパルの権限を設定します。詳細については、リソース共有コンソールの「権限ライブラリ」をご参照ください。

     • [AliyunRSDefaultPermissionKMSInstance] (推奨): v1 と v2 の 2 つのバージョンが利用可能です。新しい共有はデフォルトでバージョン v2 を使用します。バージョンを確認するには、「権限の詳細を表示する」をご参照ください。

     • [AliyunRSPermissionKMSInstanceReadWrite] (非推奨): この権限は既存の共有ユニットではまだ機能しますが、新しい共有ユニットには推奨されません。

   既存の共有ユニットを選択

   • 共有ユニットの選択

     システムは現在のアカウントのすべての共有ユニットを同期します。詳細については、「共有ユニットを作成する」をご参照ください。

   • 共有リソース

     このリストには、選択した共有ユニット内の既存のリソースが自動的に表示されます (読み取り専用)。この操作の後、現在の KMS インスタンスがこの共有に追加されます。

   • プリンシパル

     この KMS インスタンスを使用できるアカウントを指定します。

     重要

     • 詳細なコントロールのため、フォルダまたは Alibaba Cloud アカウントで追加することをお勧めします。追加するたびに、インスタンスの アクセス管理クォータ が消費されます。

     • 既存の共有ユニットからプリンシパルを追加または削除すると、その変更はその共有ユニット内の すべてのリソース に影響します。

     次の 3 種類のプリンシパルを追加します:

     • [Alibaba Cloud アカウント]: 指定された Alibaba Cloud アカウント (ID) とのみリソースを共有します。

     • [リソースディレクトリ組織]: 後で追加されるメンバーを含む、リソースディレクトリ全体のすべてのメンバーアカウントとリソースを共有します。

     • [フォルダ (組織単位)]: フォルダ ID を入力して、後で追加されるメンバーを含む、フォルダ内のすべてのメンバーとリソースを共有します。フォルダ ID のフォーマットは fd-xxxxxxxx です。フォルダ情報を表示するには、「フォルダの基本情報を表示する」をご参照ください。

   • 権限の追加

     プリンシパルの権限を設定します。詳細については、リソース共有コンソールの「権限ライブラリ」をご参照ください。

     • [AliyunRSDefaultPermissionKMSInstance] (推奨): v1 と v2 の 2 つのバージョンが利用可能です。新しい共有はデフォルトでバージョン v2 を使用します。バージョンを確認するには、「権限の詳細を表示する」をご参照ください。

     • [AliyunRSPermissionKMSInstanceReadWrite] (非推奨): 以前にこの権限を使用した場合は、引き続き使用してください。