Resource Access Management:STSとは何ですか?

期間

説明

RAM ユーザー

固定IDと資格情報を持つ物理ID。 RAMユーザーは、人またはアプリケーションを表します。

• Alibaba Cloudアカウントは複数のRAMユーザーを作成できます。 RAMユーザーは、企業内の従業員、システム、およびアプリケーションを表すために使用できます。

• RAM ユーザーはリソースを所有しません。 RAMユーザーによって生成された料金は、RAMユーザーが属するAlibaba Cloudアカウントに請求されます。 RAM ユーザーは個別の請求書を受け取らず、支払いもできません。

• RAMユーザーは、自分が所属するAlibaba Cloudアカウントにのみ表示されます。

• RAMユーザーがAlibaba Cloud管理コンソールにログインするか、操作を呼び出す前に、Alibaba Cloudアカウントによって承認されている必要があります。 権限付与後、RAMユーザーはAlibaba Cloudアカウントが所有するリソースを管理できます。

詳細については、「RAM ユーザーの概要」および「RAMユーザーの作成」をご参照ください。

RAM ロール

ポリシーをアタッチできる仮想ID。 RAMロールにはログインパスワードまたはAccessKeyペアはありません。 RAMロールは、信頼できるエンティティによって引き受けられる必要があります。 信頼エンティティは、RAMユーザー、Alibaba Cloudサービス、またはIDプロバイダー (IdP) です。 信頼できるエンティティがRAMロールを引き受ける場合、信頼できるエンティティはRAMロールのSTSトークンを取得して使用し、RAMロールが権限を持つリソースにアクセスできます。

RAMロールは、信頼できるエンティティに基づいて次のタイプに分類されます。

• Alibaba Cloudアカウント: 信頼できるAlibaba CloudアカウントのRAMユーザーは、このタイプのRAMロールを引き受けることができます。 このタイプのRAMロールを引き受けるRAMユーザーは、自分のAlibaba Cloudアカウントまたは他のAlibaba Cloudアカウントに所属できます。 このタイプのRAMロールは、クロスアカウントアクセスと一時的な権限付与に使用されます。

• Alibaba Cloudサービス: Alibaba Cloudサービスは、このタイプのRAMロールを引き受けることができます。 このタイプのRAMロールは、Alibaba Cloudサービスにリソースの管理を許可するために使用されます。

• IdP: 信頼できるIdPのユーザーは、このタイプのRAMロールを引き受けることができます。 このタイプのRAMロールは、Alibaba Cloudと信頼できるIdPの間にSSOを実装するために使用されます。

詳細については、RAM ロール、信頼できるAlibaba CloudアカウントのRAMロールの作成、信頼できるIdPのRAMロールの作成、および信頼できるAlibaba CloudサービスのRAMロールの作成をご参照ください。

RAMロールのAlibaba Cloudリソース名 (ARN)

RAMロールのARNは、RAMロールのグローバルに一意のリソース識別子です。 ARNは、Alibaba Cloudが提供するARN命名規則に従います。 たとえば、Alibaba Cloudアカウントに属するdevops RAMロールのARNは、acs:ram::123456789012 ****:role/sampleroleです。 RAMロールを作成したら、RAMロール名をクリックし、[基本情報] セクションでRAMロールのARNを見つけます。

信頼できるエンティティ

RAMロールを引き受けることを任されているエンティティ。 RAMロールを作成するときは、信頼できるエンティティを指定する必要があります。 信頼できるエンティティのみがRAMロールを引き受けることができます。 信頼できるエンティティは、Alibaba Cloudアカウント、Alibaba Cloudサービス、またはIdPです。

policy

ポリシー構造と構文に基づいて記述される一連の権限。 ポリシーを使用して、権限が付与されたリソースセット、権限が付与された操作セット、および権限付与の条件を記述できます。 ポリシーは、一連の権限を記述する単純な言語仕様の一種です。 1つ以上のポリシーをRAMロールにアタッチできます。 ポリシーのないRAMロールは、Alibaba Cloudリソースにアクセスできません。

ロールの引き受け

エンティティがRAMロールのSTSトークンを取得するためのメソッド。 エンティティユーザーは、AssumeRole STS APIを呼び出して、RAMロールのSTSトークンを取得できます。 その後、エンティティユーザーはSTSトークンを使用してAlibaba CloudサービスのAPI操作を呼び出すことができます。