API Gateway:Utiliser RAM pour gérer les autorisations d'API

• Les utilisateurs RAM peuvent consulter, créer ou supprimer des groupes d'API, des API ou des plug-ins dans API Gateway. Ils ne sont pas propriétaires de ces ressources : le compte Alibaba Cloud peut révoquer leurs autorisations à tout moment.

• L'autorisation basée sur les tags permet d'isoler les ressources entre le compte Alibaba Cloud et les utilisateurs RAM.

• Avant de gérer les autorisations d'API avec RAM, familiarisez-vous avec RAM et API Gateway. Le centre d'aide Alibaba Cloud propose une documentation sur ces services pour vous aider à les prendre en main.

Aperçu des politiques

Une politique définit les autorisations à l'aide de quatre éléments : Effect, Resource, Action et Condition.

1. Politique système

API Gateway fournit deux politiques système intégrées. Consultez-les sur la page Policies de la console RAM.

• AliyunApiGatewayFullAccess : accorde des autorisations de gestion complètes sur toutes les ressources API Gateway, y compris les groupes d'API, les API, les politiques de limitation du débit et les applications.

• AliyunApiGatewayReadOnlyAccess : accorde un accès en lecture seule à toutes les ressources API Gateway, y compris les groupes d'API, les API, les politiques de limitation du débit et les applications. Toutefois, l'utilisateur RAM ne peut pas gérer les ressources.

2. Politique personnalisée

Créez une politique personnalisée pour accorder des autorisations plus fines sur des actions ou des ressources spécifiques. Par exemple, créez une politique personnalisée pour accorder des autorisations de modification sur GetUsers. Pour consulter vos politiques personnalisées, connectez-vous à la console RAM, choisissez Permissions > Policies, puis sélectionnez Custom Policy dans la liste déroulante Policy Type.

Syntaxe des politiques

Une politique utilise une syntaxe spécifique pour définir les autorisations. Attachez une politique à un utilisateur ou à un groupe pour accorder des autorisations sur des ressources spécifiques.

Exemple :

{
  "Version": "1",
  "Statement": [
    {
  "Action": "apigateway:Describe*",
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}
                

 "Action":"<service-name>:<action-name>"

Syntaxe des ressources

L'élément Resource spécifie les objets couverts par une instruction. Dans API Gateway, vous pouvez spécifier des groupes d'API, des politiques de limitation du débit et des applications. Utilisez le format suivant :

acs:<service-name>:<region>:<account-id>:<relative-id>

Paramètres :

• acs : l'espace de noms du cloud public Alibaba Cloud.

• service-name : le nom du service Alibaba Cloud. Définissez la valeur sur apigateway pour API Gateway.

• region : la région où la politique s'applique. Utilisez le caractère générique (*) pour toutes les régions.

• account-id : l'ID du compte, par exemple 123456789012****. Prend en charge le caractère générique (*).

• relative-id : l'identifiant de la ressource, spécifié dans un format semblable à un chemin de fichier.

Un RDPath se présente sous l'un des formats suivants :

acs:apigateway:$regionid:$accountid:apigroup/$groupId

Exemple :

acs:apigateway:*:*:apigroup/cbd157704e624ab58a204fd3e0b5ad79

Le tableau suivant répertorie les opérations d'API disponibles pour le paramètre action-name dans les politiques API Gateway. Pour plus d'informations, consultez la « Référence de l'API API Gateway ».

Exemples

Autoriser un utilisateur RAM à interroger toutes les API :

{
          "Version": "1",
          "Statement": [
            {
                      "Action": "apigateway:Describe*",
                      "Resource":"acs:apigateway:$regionid:$accountid:apigroup/*",
                      "Effect": "Allow"
            }
          ]
}                        

Autoriser un utilisateur RAM à interroger tous les groupes d'API auxquels le tag version:v1 est associé :

{
	  "Version": "1",
	  "Statement": [
	    {
      		"Action": "apigateway:Describe*",
	      	"Resource":"acs:apigateway:$regionid:$accountid:apigroup/*",
	      	"Effect": "Allow", 
                 "Condition": {
                        "StringEquals": {
                             "apigateway:tag/version": "v1"
                        }
                 }
             }
	  ]
}			

Autoriser un utilisateur RAM à gérer toutes les API d'un groupe d'API :

{
          "Version": "1",
          "Statement": [
            {
                      "Action": "apigateway:*",
                      "Resource": [
                              "acs:apigateway:$regionid:$accountid:apigroup/$groupId",
                              "acs:apigateway:$regionid:$accountid:app/$appId",
                              "acs:apigateway:$regionid:$accountid:vpcaccess/*"
                      ],
                      "Effect": "Allow"
            }
          ]
}

Note: In the preceding examples, you can specify the wildcard character (*) for variables based on your business requirements.