Resource Access Management:RAM ユーザーの無効化と削除

削除前のチェックリスト

RAM ユーザーを削除する前に、以下のチェックを実行してください。

• AccessKey ペアのアクティビティの確認：

  • RAM コンソールのユーザー詳細ページで、認証 タブをクリックして、ユーザーの AccessKey ペアの 最終使用サービス/時刻 情報を表示します。

  • 詳細な API 呼び出し履歴を表示するには、ActionTrail コンソールの AccessKey ペア監査 ページで、ユーザーの AccessKeyId を検索します。

• コンソールログインアクティビティの確認：

  • RAM コンソールのユーザー詳細ページで、認証管理 タブをクリックして、最終コンソールログイン を表示します。

  • 詳細なコンソールアクティビティを表示するには、RAM コンソールのユーザー詳細ページの イベント タブをクリックするか、ActionTrail コンソールの イベントクエリ ページで RAM ユーザー名を検索します。

• サービス依存関係の確認：

  • RAM ユーザーの認証情報が、Container Service for Kubernetes (ACK) の kubeconfig ファイルなど、他の認証情報を取得するために使用されていないことを確認します。

  • DataWorks や MaxCompute など、他のクラウドサービスでタスクを実行するためにユーザー ID が使用されていないことを確認します。

  • RAM ユーザー詳細ページの 権限監査 (ベータ版) タブで、RAM ユーザーがアクセスしたサービスと最終アクセス日時を確認します。詳細については、「権限監査の概要」をご参照ください。

• ユーザー情報のバックアップ (任意)：

  ユーザーを復元しても、その権限とグループメンバーシップは復元されません。ユーザーを削除する前に、API またはスクリプトを使用して、バックアップ目的でポリシーとグループメンバーシップをエクスポートすることを検討してください。

ベストプラクティス：削除前の無効化

アクティブでなくなった可能性のある RAM ユーザーについては、まず認証情報を無効化し、一定期間モニタリングすることを推奨します。モニタリング期間中に問題が発生しなければ、削除に進むことができます。これは、従業員の退職やアプリケーションの廃止などのシナリオに対応するための最も安全な手順です。

1. RAM ユーザーの無効化：

   • コンソールログインの無効化：RAM ユーザー詳細ページの 認証管理 タブで、コンソールへのアクセス を 無効 に設定します。

   • AccessKey ペアの無効化：RAM ユーザー詳細ページの 認証管理 タブで、すべての AccessKey ペアのステータスを 無効 に設定します。

2. アクティビティのモニタリング：アプリケーションとサービスを一定期間 (7〜15 日など) モニタリングし、RAM ユーザーの無効化によってサービスの中断が発生していないことを確認します。

3. RAM ユーザーの削除：モニタリング期間中に問題が検出されなかった場合、RAM ユーザーを安全に削除できます。

1. RAM ユーザーをゴミ箱に移動

この操作により、RAM ユーザーはゴミ箱に移動され、30 日後に自動的にパージされます。RAM ユーザーをゴミ箱に移動すると、コンソールログインと AccessKey ペアが直ちに無効になり、関連するすべての権限と MFA デバイスのバインドが削除されます。

2. ゴミ箱内の RAM ユーザーの管理

ゴミ箱内の RAM ユーザーを表示、復元、または完全削除できます。