スイッチロールによる Alibaba Cloud の複数アカウント運用

# はじめに

本記事は[個人ブログ](https://blog.matsuda-yoshihiro.com/2020/06/alibaba-cloud.html)からの複製記事です。

---

複数プロジェクトや複数環境用にクラウドのアカウントが複数存在する事はよくあると思います。
※パブリッククラウドによってはそうならないところもありますね。

その場合、各アカウント配下でログイン用のユーザーを作ったりしていると管理が大変になってきます。
今回は Alibaba Cloud で複数アカウントを持っている時に便利なクロスアカウントでのスイッチロールの使い方を簡単に紹介したいと思います。
※アカウント作成の方法は割愛します。

イメージは以下のような感じです。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/1da6a7e7-e3b8-c568-2fb5-3fbc1aaa9e3b.png)

## 【スイッチ先】RAMロールの作成

最初にスイッチロールでログインされる「スイッチ先」のアカウントで`RAMロール`を作成します。

「RAMロール」の画面で`RAMロールの作成`を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/977d6535-2f2a-4a7c-3411-7a326aeba2e7.png)


「信頼済みエンティティタイプ」で`Alibaba Cloud アカウント`を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/a54b266c-4147-528d-e456-94abd94ff9df.png)

`RAMロール名`に一意のロール名をつけます。
「信頼できる Alibaba Cloud アカウントの選択」の項目で`その他の Alibaba Cloud アカウント`を選択します。
テキストボックスに `信頼する Alibaba Cloud アカウントの UID`（スイッチ元の Alibaba Cloud アカウントUID）を入力します。
「完了」を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/4583cb98-2cd3-002b-211d-95cfc76c59ad.png)

「RAM ロールの作成が完了しました。」と表示されるので、`RAM ロールの権限付与`を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/4611c27a-6296-2050-b7d8-173f1b330acb.png)

### 【スイッチ先】RAMロールの権限設定

権限付与の画面が表示されるので、スイッチロールでログインするユーザーに必要な権限を選択します。
※今回は例として管理者権限（AdministratorAccess）を付与しています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/710a5e23-7cd3-78bc-a092-ccac14802a19.png)

権限の付与に成功すれば権限付与は完了です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/33a7bb4b-1d6d-72fb-26c0-b6c0ae284999.png)

作成した`ロール名`と下記の`ドメイン名`を使うので覚えておきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/c9abb10a-fed2-3183-8b60-fcec0ae1ec91.png)



## 【スイッチ元】RAMユーザーログイン

スイッチ元アカウントでの[RAMユーザーの作成](https://www.alibabacloud.com/help/ja/doc-detail/93720.htm)は割愛します。
RAMユーザーのログインに関しても[ドキュメント](https://www.alibabacloud.com/help/ja/doc-detail/116265.htm)をご確認ください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/4a896b8c-8f0c-6740-01fe-65fcd6cf2122.png)

`Log on`を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/badb19ee-2e9a-4cc4-a850-0fdbe477915d.png)

MFAのコードを入力して`Submit Verification`を選択します。
MFAは「Google Authenticator」とか「Microsoft Authenticator」が利用可能です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/de4d8f7a-2833-19e2-c2e4-20a2f50908dc.png)

RAMユーザーでログインしている場合、右上のアイコンを選択すると以下のようなメニューが表示されます。
`Switch Role`を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/f1507420-b422-fb17-411b-de2412151f56.png)

### 【スイッチ元】スイッチロールの実行

`Enterprise Alias / Default Domain Name`にスイッチ先アカウントのドメイン名を入力します。
`Role Name`に作成したスイッチ先アカウントのRAMロール名を入力します。
`Switch`を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/ac636bea-1073-431d-a8f1-95b7878c4363.png)

再び管理コンソールの画面が表示されます、右上のアイコンを選択すると以下のようなメニューが表示されスイッチロールでログインできていることが確認できます。
`Current ~`がスイッチ先の情報
`Login ~`がスイッチ元の情報
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/11547/a29b4298-7077-1e7f-b95c-e3d54481ce1b.png)

あとは、権限に応じた操作ができるようになっているので必要な作業を行うことが可能です。
なお、`Back to Lo...`を選択するとスイッチ元のアカウントに戻ることが可能です。