Pour garantir la sécurité de vos ressources cloud, nous vous recommandons vivement d'utiliser un utilisateur Resource Access Management (RAM) pour les opérations et la gestion quotidiennes, plutôt que d'utiliser directement votre compte Alibaba Cloud, qui détient l'ensemble des ressources et dispose des autorisations les plus élevées. Cette rubrique explique comment utiliser votre compte Alibaba Cloud pour créer un utilisateur RAM doté des autorisations d'administrateur, puis effectuer la première connexion et configurer les paramètres de sécurité. Une fois ce guide terminé, déconnectez-vous de votre compte Alibaba Cloud et utilisez systématiquement cet administrateur RAM pour la gestion quotidienne de vos ressources cloud.
Pourquoi utiliser un utilisateur RAM plutôt qu'un compte Alibaba Cloud
Le tableau suivant compare un compte Alibaba Cloud à un utilisateur RAM.
|
Élément |
Compte Alibaba Cloud |
Utilisateur RAM |
|
Rôle d'identité |
Propriétaire de toutes les ressources. Dispose de la pleine propriété et des autorisations les plus élevées. |
Utilisateur des ressources et des services. Les autorisations sont accordées par le compte Alibaba Cloud. Correspond généralement à une personne ou à une application spécifique. |
|
Possède des ressources cloud |
Oui |
Non. Les ressources appartiennent au compte Alibaba Cloud. |
|
Autorisations par défaut |
Autorisations complètes. Impossible de les restreindre. |
Aucune autorisation par défaut. Le compte Alibaba Cloud doit les accorder. |
|
Utilisation recommandée |
Uniquement pour les opérations de gestion clés : autorisation, paiement et gestion du compte. |
Développement quotidien, exploitation et maintenance (O&M), déploiement et autres tâches. |
Pour en savoir plus sur RAM, consultez la rubrique Qu'est-ce que Resource Access Management ?
Les utilisateurs RAM ne peuvent pas consulter les données du compte Alibaba Cloud ni gérer aucune configuration dans le Account Center.
Bonnes pratiques en matière de sécurité du compte
Créez un utilisateur RAM disposant des autorisations d'administrateur, dédié à la gestion quotidienne et aux opérations techniques.
N'utilisez votre compte Alibaba Cloud qu'en cas de nécessité et conservez son mot de passe, son MFA et ses autres identifiants en toute sécurité.
Effectuez toutes les opérations quotidiennes avec l'utilisateur administrateur RAM afin d'éviter d'exposer votre compte Alibaba Cloud dans les environnements courants.
Créer un utilisateur RAM disposant des autorisations d'administrateur
Les étapes suivantes expliquent comment utiliser votre compte Alibaba Cloud pour vous connecter à la console RAM et créer un utilisateur RAM en tant qu'administrateur du compte. Choisissez l'une des méthodes suivantes.
Création rapide (recommandée)
Connectez-vous à la console RAM avec votre compte Alibaba Cloud. Sur la page Overview, cliquez sur l'onglet Quick Start, puis sous Initial users, cliquez sur Account Administrator.
Vérifiez la configuration de l'Account Administrator et cliquez sur Perform. Par défaut, cet administrateur de compte dispose d'un accès à la console activé et de la stratégie système AdministratorAccess associée. Cette stratégie accorde des autorisations pour gérer toutes les ressources Alibaba Cloud.
Une fois la configuration terminée, enregistrez le nom d'utilisateur RAM et le mot de passe de connexion de cet administrateur de compte (cliquez sur Copy ou sur Download).
Après la création de l'administrateur de compte, modifiez sa configuration dans le menu correspondant de la console RAM.
Création manuelle
Étape 1 : Créer l'utilisateur RAM
Connectez-vous à la console RAM avec votre compte Alibaba Cloud. Dans le volet de navigation de gauche, sélectionnez Identities > Users, puis cliquez sur Create User.
-
Saisissez les informations relatives à l'utilisateur.
Champ
Description
Logon Name
Saisissez un nom pour l'administrateur, par exemple
administrator.Display Name
Saisissez un alias pour faciliter l'identification, par exemple
Administrator.Access Mode
Sélectionnez un mode d'accès. Si vous sélectionnez OpenAPI Access, suivez les bonnes pratiques pour l'utilisation des identifiants d'accès.
Multi-Factor Authentication (MFA)
Sélectionnez l'option requise pour Enable MFA. Consultez la rubrique Associer un dispositif MFA à un utilisateur RAM.
Sur la page Create User, configurez les paramètres suivants :
Logon Name : saisissez
administratorDisplay Name : saisissez
administratorAccess Mode : sélectionnez Console Access
Password : sélectionnez Automatically generate a password
Password Reset on Next Logon : sélectionnez The user must reset the password at the next logon
Multi-Factor Authentication (MFA) : sélectionnez MFA is required
Suivez les instructions à l'écran pour terminer l'authentification de sécurité.
Étape 2 : Accorder les autorisations d'administrateur
Sur la page Users, recherchez l'utilisateur RAM que vous avez créé et cliquez sur Add Permissions dans la colonne Actions.
Dans le panneau Grant Permission, associez la stratégie système AdministratorAccess à l'utilisateur RAM. Cette stratégie accorde des autorisations pour gérer toutes les ressources Alibaba Cloud.
Se connecter avec l'utilisateur RAM
Déconnectez-vous immédiatement de votre compte Alibaba Cloud.
Connectez-vous avec l'utilisateur RAM. Accédez à la page de connexion de l'utilisateur RAM. Saisissez le Username RAM, cliquez sur Next, saisissez le Password RAM, puis cliquez sur Log On.
Associez un dispositif MFA. Si le MFA a été activé lors de la création de l'utilisateur, le système vous invite à associer un dispositif MFA, qui constitue une deuxième couche de protection pour votre compte d'administrateur. Suivez les instructions à l'écran pour terminer l'association. Consultez la rubrique Associer un dispositif MFA à un utilisateur RAM.
Vérification et étapes suivantes
Une fois connecté et après avoir configuré les paramètres de sécurité, essayez d'accéder à une console telle que ECS ou OSS pour vérifier que les autorisations d'administrateur ont pris effet.
Désormais, effectuez toutes les tâches de gestion quotidienne des ressources cloud, de développement et d'O&M avec cet utilisateur administrateur RAM. Conservez les identifiants de votre compte Alibaba Cloud en toute sécurité et ne les utilisez que pour la gestion du compte, le paiement ou des opérations spécifiques au niveau du compte.
FAQ
Quelle est la principale différence entre un compte Alibaba Cloud et un utilisateur RAM ?
La principale différence réside dans la manière dont les autorisations sont obtenues et gérées. Un compte Alibaba Cloud dispose d'autorisations ultimes et intégrées qu'aucun autre compte ne peut révoquer ou restreindre. Les autorisations d'un utilisateur RAM sont accordées par le compte Alibaba Cloud et peuvent être modifiées, révoquées ou désactivées à tout moment.
Cette séparation limite votre exposition en cas de compromission des identifiants. Si les identifiants d'un administrateur RAM sont divulgués, connectez-vous avec votre compte Alibaba Cloud pour supprimer ou désactiver immédiatement cet utilisateur RAM. Si le compte Alibaba Cloud lui-même est compromis, toutes les ressources et autorisations sont menacées, c'est pourquoi il doit être protégé avec soin.
Certaines opérations de haut niveau, notamment la vérification d'identité, la modification des informations du compte et la fermeture d'un compte, nécessitent toujours le compte Alibaba Cloud. Les utilisateurs RAM ne disposent pas des autorisations nécessaires pour ces opérations.