• ドキュメント
• アクセス管理 (SORACOM Access Management: SAM)
• Getting Started

SAM ユーザーを作成する

ルートユーザーとは別の「SAM ユーザー」を作成し、SAM ユーザーごとに権限を細かく管理します。利用できる API や利用可能期間などを SAM ユーザーごとに設定できるため、不要なアクセスや操作ミスによる損失を未然に防ぐことが期待できます。

1. SORACOM ユーザーコンソール にログインし、右上のユーザー名が表示されているボタンをクリックして、[セキュリティ] をクリックします。

   

   SAM ユーザー一覧画面が表示されます。

2. [ユーザー] をクリックし、[SAM ユーザー作成] をクリックします。

   

3. [名前] と [概要] を入力し、[作成] をクリックします。

   項目	説明
   名前	SAM ユーザーの名前です。SORACOM ユーザーコンソールに、SAM ユーザーとしてログインするときに使います。パスワードの設定方法は、SORACOM ユーザーコンソールのログインパスワードの設定 を参照してください。
   概要	SAM ユーザーを識別するための任意の文字列です。

   

SAM ユーザーの認証設定

作成した SAM ユーザーの認証キーを生成したり、パスワードを設定したりします。

SORACOM CLI や SORACOM API を利用するには、認証キーを生成することを推奨します。また、SORACOM ユーザーコンソールにログインするためには、パスワードを設定してください。

1. SAM ユーザー一覧画面で、パスワードの設定または認証キーの生成を行う SAM ユーザーをクリックします。

   

2. [認証設定] をクリックします。

   

   SAM ユーザーの認証設定画面が表示されます。

   • この SAM ユーザーが、SORACOM CLI や SORACOM API を利用する場合は、認証キーを生成します。

   • この SAM ユーザーが、SORACOM ユーザーコンソールにログインする場合は、パスワードを設定します。

認証キーの生成

SAM ユーザーが SORACOM CLI や SORACOM API を利用する場合は、認証キーを生成することを推奨します。

1. SAM ユーザーの認証設定画面で [認証キーを生成] をクリックします。

   

   「認証キー ID」 と 「認証キーシークレット」 が表示されます。

   

2. [クリップボードにコピー] をクリックします。

   「SAM ユーザー名」(user)、「認証キー ID」(authKeyId)、「認証キーシークレット」(authKeySecret) が、以下の書式でクリップボードにコピーされます。なお、1 行目はヘッダーです。2 行目に記載された情報を利用してください。

   user,authKeyId,authKeySecret
   my-user,keyId-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx,secret-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
   

   「認証キー ID」(authKeyId)、「認証キーシークレット」(authKeySecret) の 2 つを使って Auth:auth API を呼び出すと、SAM ユーザーとして SORACOM API を使用するための API キーと API トークンが発行されます。詳しくは、API キーと API トークンを発行する を参照してください。

SORACOM ユーザーコンソールのログインパスワードの設定

SAM ユーザーで SORACOM ユーザーコンソールにログインする場合は、ログインパスワードを設定します。

1. SAM ユーザーの認証設定画面で [パスワード設定] をクリックします。

   

2. [パスワード] および [パスワード (確認)] に、画面に表示された条件を満たす同一のパスワードを入力して、[設定] をクリックします。

   

   ログイン URL が発行されます。ログイン URL を SAM ユーザーに共有すると、SAM ユーザーとしてログインする ときに、オペレーター ID の入力を省略できます。

SAM ユーザーの権限設定

SAM ユーザーが SORACOM API を呼び出す場合は、呼び出す API にあわせて SAM ユーザーごとに権限を設定します。

権限を設定する方法には、直接指定、ロール指定、SAM デフォルト権限設定の 3 種類があります。1 ユーザーに対して、すべての方法で権限を設定した場合の適用順序については、SAM ユーザーの権限設定の適用順序について を参照してください。

直接指定

SAM ユーザーごとに、個別の権限を設定します。

1. SAM ユーザー一覧画面で、権限を設定する SAM ユーザーをクリックします。

   

2. [権限設定] をクリックします。

   

3. パーミッション構文に従った JSON を [直接指定] に入力します。

   たとえば、ある SAM ユーザーに、IoT SIM の一覧を表示する権限のみを付与する場合は、以下のように入力します。

   {
     "statements": [
       {
         "effect": "allow",
         "api": [
           "Sim:listSims"
         ]
       }
     ]
   }
   

   パーミッション構文については、権限設定のためのパーミッション構文 を参照してください。

   テンプレート (良く使われる定型的な設定) や作成済みのロールを参考にできます

   良く使われる定型的な権限設定を「テンプレート」という名前で用意しています。

   [テンプレート選択] で目的に合った権限設定 (テンプレート、または ロール) を選択して、[直接指定] に入力する内容の参考にできます。[コピー] をクリックすると、[テンプレート選択] に表示されている内容をクリップボードにコピーできます。

4. [保存] をクリックします。

ロール指定 (関連付け)

あらかじめ ロールを作成 しておくと、ロールを SAM ユーザーに関連付ける (アタッチする) だけで、SAM ユーザーの権限を設定できます。

1. SAM ユーザー一覧画面で、権限を設定する SAM ユーザーをクリックします。

   

2. [権限設定] をクリックします。

   

3. [ロール指定] の [ロールをアタッチ] をクリックします。

4. 関連付ける (アタッチする) ロールにチェックを入れて、[アタッチ] をクリックします。

   ロール一覧画面が表示されます。

SORACOM ユーザーコンソールの主な機能と権限設定について

適切な権限を設定していない SAM ユーザーが SORACOM ユーザーコンソールにログインすると、SIM 管理画面が表示されないなど説明通りに操作できない場合があります。これは、SORACOM ユーザーコンソールの一部の機能が、SORACOM API を利用しているためです。

SORACOM ユーザーコンソールの主な機能と、その機能を利用するために必要な権限の関係は、以下のとおりです。

SAM ユーザーの権限設定の適用順序について

SAM ユーザーに対して権限を設定する方法には、直接指定、ロール指定、SAM デフォルト権限設定 の 3 種類があります。ある SAM ユーザーに対して、複数の方法で権限を設定した場合は、以下のルールで権限が適用されます。

直接指定、ロール指定 (複数指定可能)、SAM デフォルト権限設定の 3 種類の権限設定を、すべて同じ優先順位で組み合わせます。その結果、同じ API に対して、許可 (allow) と 禁止 (deny) を設定した場合は、API の呼び出しは 禁止 (deny) されます。

なお、具体例は以下のとおりです。

例 1:

• 権限設定 A : Billing:bills だけが allow

  {
    "statements": [
      {
        "effect": "allow",
        "api": "Billing:bills"
      }
    ]
  }
  

• 権限設定 B : Billing:* が deny (Billing:bills も deny)

  {
    "statements": [
      {
        "effect": "deny",
        "api": "Billing:*"
      }
    ]
  }
  

例 2:

• 権限設定 A : Billing:bills が deny の権限設定

  {
    "statements": [
      {
        "effect": "deny",
        "api": "Billing:bills"
      }
    ]
  }
  

• 権限設定 B : Billing:* が allow の権限設定 (Billing:bills も allow)

  {
    "statements": [
      {
        "effect": "allow",
        "api": "Billing:*"
      }
    ]
  }