Attacher une stratégie personnalisée à un utilisateur RAM - Container Registry

Cette rubrique explique comment créer une stratégie personnalisée accordant des autorisations en lecture et en écriture pour un namespace spécifique dans une instance Container Registry Enterprise Edition.

Créer une stratégie personnalisée

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez Permissions > Policies.
Sur la page Policies, cliquez sur Create Policy.
Sur la page Create Policy, cliquez sur l'onglet JSON Editor.

La page affiche un éditeur JSON. Le modèle de stratégie par défaut inclut un élément Version (défini sur "1") et un tableau Statement. Chaque instruction comprend les éléments Effect (par défaut "Allow"), Action, Resource et Condition. Renseignez les éléments Action et Resource.
Copiez le contenu de la stratégie suivante dans l'éditeur et remplacez les espaces réservés instanceid et namespace par vos valeurs.
Pour accorder des autorisations supplémentaires, consultez les Règles d'authentification de Container Registry pour connaître les formats pris en charge pour Action et Resource. Pour plus de détails sur la syntaxe des stratégies, voir la Structure et syntaxe des stratégies.

Remarque
L'astérisque (*) agit comme un caractère générique. Par exemple, cr:ListInstance* accorde toutes les actions commençant par cr:ListInstance. Si vous définissez acs:cr:*:*:repository/$instanceid/$namespace/* sur acs:cr:*:*:repository/cri-123456/ns/*, la stratégie accorde toutes les autorisations sur le namespace ns dans l'instance cri-123456 pour toutes les régions.
```
{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cr:ListInstance*",
        "cr:GetInstance*",
        "cr:ListSignature*"
      ],
      "Resource": "*"
    },
    {
      "Action": [
        "cr:*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cr:*:*:repository/$instanceid/$namespace/*",
        "acs:cr:*:*:repository/$instanceid/$namespace"
      ]
    },
    {
      "Action": [
        "cr:List*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cr:*:*:repository/$instanceid/*",
        "acs:cr:*:*:repository/$instanceid/*/*"
      ]
    }
  ],
  "Version": "1"
}
```
Cliquez sur Confirm. Dans la boîte de dialogue Create Policy, saisissez un Policy Name et une Description.

Attacher la stratégie personnalisée

Console

La console RAM propose deux points d'entrée, prenant tous deux en charge l'autorisation unique et par lot :

Page Users : Le principal est automatiquement sélectionné en fonction des utilisateurs choisis. Idéal pour les flux de travail centrés sur l'utilisateur.
Page Grants : Vous sélectionnez manuellement les principaux et pouvez afficher tous les enregistrements d'autorisation de votre compte. Idéal pour les flux de travail centrés sur les autorisations.

Remarque

Conseil : Pour la gestion à grande échelle, ajoutez les utilisateurs RAM ayant des responsabilités identiques à un groupe d'utilisateurs, puis accordez des autorisations au groupe. Accédez à Identities > User Groups pour gérer les groupes.

Depuis la page Users

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, choisissez Identities > Users.
Sur la page Users, recherchez l'utilisateur RAM cible et cliquez sur la colonne Actions > Attach Policy.

Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Attach Policy sous la liste des utilisateurs pour une autorisation par lot.

Dans le panneau Grant Permission, configurez les paramètres suivants :

Resource scope :
- Account level : Les autorisations s'appliquent à toutes les ressources de votre compte Alibaba Cloud.
- Resource group level : Les autorisations s'appliquent uniquement au sein du groupe de ressources spécifié. Après la connexion, l'utilisateur RAM doit basculer vers le groupe de ressources autorisé dans la barre de navigation supérieure.
  Remarque
  1. Le système marque les stratégies système à haut risque (telles que AdministratorAccess et AliyunRAMFullAccess) avec un indicateur d'avertissement. Ces stratégies accordent généralement un contrôle total sur toutes les ressources cloud ou une gestion complète de RAM. Accordez ces stratégies avec prudence.
  2. Pour des exemples d'autorisation de groupe de ressources, voir Contrôler l'accès des utilisateurs RAM à des instances ECS spécifiques.
Principal :

Le principal est l'utilisateur RAM recevant les autorisations. Depuis la page Users, le système sélectionne automatiquement l'utilisateur actuel. Depuis la page Grants, vous devez sélectionner manuellement l'utilisateur. La sélection par lot est prise en charge.

Permission policy :

System policy : Recherchez et sélectionnez. Filtrez par nom de produit (par exemple, ECS, OSS), niveau d'accès (par exemple, ReadOnly, FullAccess) ou nom complet de la stratégie. Par exemple, pour accorder des autorisations pour la gestion financière (dépenses et coûts), recherchez BSS pour trouver AliyunBSSFullAccess (accès complet à la facturation et à la gestion des coûts) et d'autres stratégies liées aux finances.

Le tableau suivant répertorie les noms des stratégies système pour les produits Alibaba Cloud couramment demandés afin de vous aider à trouver rapidement la bonne stratégie.

Product

System policy name

Access level

Gestion de la facturation et des coûts (finance)

AliyunBSSFullAccess

Accès complet

Cloud Monitor

AliyunCloudMonitorReadOnlyAccess

Lecture seule

China Gateway (Website Builder)

AliyunWebsiteBuildFullAccess

Accès complet

Alibaba Cloud DevOps

AliyunYunxiaoFullAccess

Accès complet

Model Studio (Bailian)

AliyunBailianFullAccess

Accès complet

Alibaba Cloud DNS

AliyunDNSFullAccess

Accès complet

SSL Certificates Service

AliyunYundunCertFullAccess

Accès complet

Cloud Phone

AliyunECDFullAccess

Accès complet

Support Center

AliyunSupportFullAccess

Accès complet

Resource Center

AliyunResourceCenterFullAccess

Accès complet

AgentBay

AliyunAgentBayFullAccess

Accès complet

Security Center

AliyunYundunSASFullAccess

Accès complet

Si vous ne trouvez pas la stratégie pour votre produit cible, consultez la Référence des stratégies système pour la liste complète, ou créez une stratégie personnalisée pour un contrôle d'accès granulaire.

Custom policy : Vous devez Créer une stratégie personnalisée avant de pouvoir l'accorder.
Limite de pagination pour tout sélectionner : La liste des stratégies est paginée. La sélection de tout s'applique uniquement à la page actuelle. Lorsque vous changez de page, les stratégies précédemment sélectionnées restent dans la liste sélectionnée, mais les stratégies de la nouvelle page ne sont pas automatiquement sélectionnées ; vous devez les sélectionner page par page.
Accorder rapidement des autorisations d'administrateur : Pour accorder des autorisations d'administrateur, recherchez AdministratorAccess dans la zone de recherche et sélectionnez-le directement, au lieu de sélectionner les stratégies page par page. La sélection de cette stratégie déclenche un avertissement d'autorisation à haut risque.

(Facultatif) Description : Saisissez la raison de l'autorisation ou le scénario à des fins d'audit.
Cliquez sur Confirm.

Vérifiez le résultat de l'autorisation et cliquez sur Close.

Depuis la page Grants

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, choisissez Permissions > Grants.
Sur la page Grants, cliquez sur Grant Permission.
Dans le panneau Grant Permission, sélectionnez le principal et configurez les mêmes paramètres que décrits ci-dessus.
Vérifiez le résultat de l'autorisation et cliquez sur Close.

Remarque

Les utilisateurs RAM créés via la fonctionnalité Quick Start sur la page d'accueil de la console RAM reçoivent automatiquement la stratégie système correspondante en fonction du scénario sélectionné, sans nécessiter d'autorisation manuelle :

Super user : Reçoit automatiquement la stratégie PowerUserAccess. Cet utilisateur peut gérer les services cloud et les ressources, mais ne peut pas gérer les identités RAM et leurs autorisations, les répertoires de ressources ou les comptes de facturation.
Account administrator : Reçoit automatiquement la stratégie AdministratorAccess. Cet utilisateur peut gérer toutes les ressources Alibaba Cloud, y compris les identités et les autorisations RAM.

Utilisez ces options uniquement lorsque des privilèges de super administrateur sont réellement requis. Pour les opérations courantes, suivez le principe du moindre privilège et n'accordez que les autorisations nécessaires à la tâche spécifique.

OpenAPI

Accorder une custom policy

Appelez CreatePolicy pour créer une custom policy. Pour la syntaxe de la stratégie, voir Éléments de la stratégie d'autorisation et Aperçu des exemples de stratégies.
Appelez AttachPolicyToUser pour accorder la stratégie au account level (définissez PolicyType sur Custom).

Sinon, appelez AttachPolicy pour accorder la stratégie au resource group level.

Accorder une system policy

Appelez AttachPolicyToUser pour attacher la stratégie système à l'utilisateur RAM (définissez PolicyType sur System). Pour les valeurs disponibles de PolicyName, voir Référence des stratégies système.
Sinon, appelez AttachPolicy pour accorder la stratégie au resource group level.

Remarque

Après s'être connecté à la console Container Registry, l'utilisateur RAM peut construire, pousser et extraire des images dans le namespace autorisé.