このトピックでは、Alibaba CloudサービスのIDと権限の概念について説明します。
アイデンティティ
Alibaba Cloud IDは、物理エンティティと仮想エンティティに分類できます。
物理的エンティティ
物理エンティティは、固定されたIDおよびアイデンティティ証明書を有する。 これは、人、会社、またはアプリケーションを表すために使用されます。 物理エンティティのID資格情報は、ログインパスワードまたはAccessKeyペアにすることができます。 物理エンティティは、Alibaba CloudアカウントまたはRAM (Resource Access Management) ユーザーです。 物理エンティティは、次の方法を使用してAlibaba Cloudリソースにアクセスできます。
ユーザー名とパスワード、または多要素認証 (MFA) 方式を使用して、コンソールからクラウドリソースにアクセスします。
AccessKeyペアを使用してクラウドリソースにアクセスします。
AlibabaクラウドアカウントとRAMユーザーには異なる機能があります。 Alibaba Cloudリソースにアクセスする前に、次の項目に注意してください。
仮想エンティティ
仮想エンティティには、ログインパスワードやAccessKeyペアなどの固定ID資格情報はありません。 RAMロールは仮想エンティティと見なされます。 RAMロールを使用する前に、信頼できるAlibaba CloudアカウントのRAMユーザーでRAMロールを引き受ける必要があります。 信頼できるエンティティを使用してRAMロールを引き受けた後、RAMロールのSecurity Token Service (STS) トークンを取得します。 次に、STSトークンを使用して、RAMロールが権限を持つリソースにアクセスできます。
RAMロールは、信頼できるエンティティに基づいて3つのタイプに分類されます。
信頼できるエンティティ | 説明 | 参照 |
Alibaba Cloud アカウント | このタイプのRAMロールは、クロスアカウントアクセスと一時的な権限付与に使用されます。 これは、信頼できるAlibaba Cloudアカウントに属するRAMユーザーのみが引き受けることができます。 信頼できるAlibaba Cloudアカウントは、現在のAlibaba Cloudアカウントまたは別のAlibaba Cloudアカウントのいずれかです。 | |
Alibaba Cloud サービス | このタイプのRAMロールは、Alibaba Cloudサービス間のアクセスを許可するために使用されます。 これは、信頼できるAlibaba Cloudサービスによってのみ想定できます。 | |
ID プロバイダ (IDP) | このタイプのRAMロールは、Alibaba Cloudと信頼できるIdP間でロールベースのシングルサインオン (SSO) を実装するために使用されます。 これは、信頼できるIdPのユーザーのみが想定できます。 |
権限
権限は、特定のリソースへのさまざまなユーザーIDのアクセスを制御するために使用されます。 権限を使用して、特定のリソースに対する特定の操作を許可するか拒否するかを制御できます。
物理エンティティの権限
物理エンティティ | デフォルトの権限 | 権限付与 | 説明 |
Alibaba Cloud アカウント | リソースに対する完全な権限 | 不要。 | Alibaba Cloudアカウントは、自身が所有するリソースに対する完全な制御と権限を持っています。 RAMユーザーなどの他のユーザーは、Alibaba Cloudアカウントによって承認された後にのみリソースにアクセスできます。 |
RAM ユーザー | なし | RAMユーザーは、承認された後にのみ、コンソールまたはAPI操作を呼び出すことによってクラウドリソースにアクセスして使用できます。 | Alibaba Cloudは、RAM IDにポリシーをアタッチすることで権限付与を実装します。 ポリシーは、ポリシー構造と構文に基づいて記述される一連の権限を定義します。 ポリシーを使用して、許可されたリソースセット、許可された操作セット、および許可条件を記述できます。 RAM は、以下の 2 種類のポリシーをサポートしています。
RAMユーザーまたはRAMユーザーグループにポリシーをアタッチして、ポリシーで指定されたアクセス権限を付与できます。 詳細については、「RAMユーザーへの権限の付与」または「RAMユーザーグループへの権限の付与」をご参照ください。 |
仮想エンティティの権限
Alibaba CloudのRAMロールには、デフォルトでは権限がありません。
RAMロールは、信頼できるエンティティによって引き受けられ、承認された後にのみ、コンソールまたはAPI操作を呼び出すことによって、クラウドリソースにアクセスして使用できます。
RAMロールにポリシーをアタッチして、ポリシーで指定されたアクセス権限を付与できます。 詳細については、「RAMロールへの権限の付与」をご参照ください。
参考資料
RAMをサポートするAlibaba Cloudサービスと対応するシステムポリシーの詳細については、「RAMを使用するサービス」をご参照ください。
RAMでサポートされている基本的なポリシー要素と構文の詳細については、「ポリシー要素」と「ポリシー構造と構文」をご参照ください。