Resource Access Management:RAM ロールの引き受け

仕組み

RAM ロールを引き受けるプロセスには、Alibaba Cloud Security Token Service (STS) によって仲介される以下のステップが含まれます。

1. 資格情報のリクエスト。 プリンシパル（例：RAM ユーザーの Alice）が、STS に対して AssumeRole リクエストを送信し、偽装するロールの ARN（例：prod-role）を指定します。

2. 権限の検証。 RAM は、(a) Alice がアクセスポリシーに sts:AssumeRole 権限を持っていること、および (b) prod-role の信頼ポリシーが Alice (またはそのアカウント) を信頼されたプリンシパルとして指定していることの 2 点を検証します。

3. 一時的な認証情報の取得。両方のチェックに合格すると、STS は一時的なセキュリティ認証情報 (STS トークン) を返します。

4. リクエストを作成します。 プリンシパルは STS トークンを使用して、OSS などの Alibaba Cloud サービスにリクエストを送信します。このサービスは、prod-role にアタッチされたアクセスポリシーに基づいて、リクエストを承認します。

ロールの引き受け方法

プリンシパルは、ユースケースに応じていくつかの方法でロールを引き受けることができます：

• コンソールでのロールの切り替え：認証された RAM ユーザーは、現在の ID から RAM ロールに切り替えて、Alibaba Cloud 管理コンソールでタスクを実行できます。

• プログラムによるアクセス (API/CLI/SDK): アプリケーションまたはスクリプトは、API 操作 (AssumeRole や AssumeRoleWithSAML など) を呼び出して、RAM ロールの一時的な認証情報を取得できます。 Alibaba Cloud CLI および SDK は、このプロセスを簡素化します。

• ID フェデレーション (SAML/OIDC)：外部の ID プロバイダー (IdP) のユーザーに RAM ロールの引き受けを許可することで、コンソールへのシングルサインオン (SSO) やフェデレーティッド API アクセスを有効にできます。詳細については、「ロールベース SSO」をご参照ください。

• Alibaba Cloud リソースのサービスロール：Alibaba Cloud サービス (Elastic Compute Service (ECS) や Function Compute など) は、RAM ロールを引き受けて、ユーザーに代わって他のリソースにアクセスできます。これは、Alibaba Cloud インフラストラクチャで実行されているアプリケーションで一般的に使用されます。詳細については、「Alibaba Cloud 上のアプリケーションによる Alibaba Cloud リソースへのアクセス」をご参照ください。

このトピックでは、コンソール、CLI、および API を介したロールの引き受けに焦点を当てています。フェデレーションとサービスロールに関する情報については、関連ドキュメントをご参照ください。

クロスアカウントアクセス

RAM ロールを使用して、あるアカウントのプリンシパルが別のアカウントのリソースにアクセスできるようにすることができます。

これには、主に 2 つの権限設定が必要です：

• 宛先アカウントの RAM ロールの信頼ポリシーは、ソースアカウント (またはその中の特定のプリンシパル) を信頼されたプリンシパルとして指定する必要があります。

• ソースアカウントのプリンシパルは、そのアクセスポリシーに sts:AssumeRole 権限を有している必要があります。

詳細については、「Alibaba Cloud アカウント間でのリソースへのアクセス」をご参照ください。

ロールチェイニング

ロールチェーンとは、ある RAM ロールの認証情報を使用して 2 番目のロールを引き受けることです。例えば、ユーザーが Role-A を引き受け、次に Role-A からの一時的な認証情報を使用して Role-B を引き受けます。

ロールチェイニングを有効にするには、最初のロール (Role-A) に、2 番目のロール (Role-B) に対して sts:AssumeRole を呼び出すことを許可するアクセスポリシーが必要です。さらに、Role-B の信頼ポリシーでは、Role-A を信頼されたプリンシパルとして指定する必要があります。

以下の例は、CLI を使用してロールチェーンを設定する方法を示しています。

1. チェーン内の初期ロール（例：admin-role）を偽装するために、CLI プロファイル（例：RamRoleArnProfile）を設定します。手順については、このトピックの「CLI で RAM ロールを偽装する」セクションをご参照ください。

2. ソースロールに他のロールを偽装する権限を付与します。たとえば、ソースロールに AliyunSTSAssumeRoleAccess ポリシーをアタッチします。

3. ターゲットロール (target-role など) を作成し、ソースロールを信頼するようにその信頼ポリシーを設定します。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "acs:ram::<ACCOUNT_ID>:role/admin-role"
           ]
         }
       }
     ],
     "Version": "1"
   }

4. 新しい CLI プロファイルを、ChainableRamRoleArn モードを使用して設定します。

   aliyun configure --profile ChainableProfile --mode ChainableRamRoleArn

5. プロンプトで、ソースプロファイルの名前 (RamRoleArnProfile) と対象ロールの Amazon リソースネーム (ARN) を指定します。

   Configuring profile 'ChainableProfile' in 'ChainableRamRoleArn' authenticate mode...
   Source Profile []: RamRoleArnProfile
   Sts Region []: cn-shanghai
   Ram Role Arn []: acs:ram::012345678910****:role/target-role
   Role Session Name []: user-name
   External ID []: abcd1234
   Expired Seconds [900]: 900
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] zh: en
   Saving profile[ChainableProfile] ...Done.

6. 新しいチェーンプロファイルを使用してコマンドを実行します。このコマンドは、チェーン内の最終ロールの権限で実行されます。これは、sts GetCallerIdentity を呼び出すことによって確認できます。

   aliyun sts GetCallerIdentity

RAM ユーザーに特定の RAM ロールのみを引き受けることを許可する方法

AliyunSTSAssumeRoleAccess システムポリシーをアタッチするのではなく、ユーザーのカスタムポリシーを作成します。このポリシーでは、Action を sts:AssumeRole に設定し、Resource 要素で偽装を許可されている特定のロールの ARN を指定します。詳細については、RAM ロールと STS トークンに関するよくある質問にある「特定の RAM ユーザーが特定の RAM ロールを偽装できないように制限するにはどうすればよいですか？」セクションをご参照ください。

Alibaba Cloud アカウントの所有者は RAM ロールを引き受けることができるか

いいえ。Alibaba Cloud アカウントの所有者は RAM ロールを引き受けることはできません。ロールの引き受けは、RAM ユーザーとロール、およびフェデレーティッドユーザー向けに設計されています。

RAM ロールの一時的な認証情報が漏洩した場合の対処法

一時的な認証情報が漏洩した疑いがある場合は、その RAM ロールのアクティブなすべてのトークンを直ちに無効にすることができます。手順については、「RAM ロールと STS トークンに関するよくある質問」の「STS トークンが漏洩した場合はどうすればよいですか？」セクションをご参照ください。