Lorsque plusieurs membres d'une équipe doivent gérer des ressources ApsaraMQ for Kafka (instances, topics et groupes de consommateurs), le partage d'une seule paire AccessKey de compte Alibaba Cloud présente un risque pour la sécurité. Resource Access Management (RAM) vous permet de créer des identités utilisateur individuelles dotées d'autorisations limitées, afin que chaque personne ou application n'accède qu'aux ressources dont elle a besoin.
Les utilisateurs RAM offrent les avantages suivants :
Accès limité : chaque utilisateur RAM dispose d'une identité indépendante et d'autorisations restreintes.
Facturation centralisée : tous les coûts des ressources sont facturés au compte Alibaba Cloud, et non aux utilisateurs RAM individuels.
Contrôle total : révoquez les autorisations ou supprimez n'importe quel utilisateur RAM à tout moment.
Étape 1 : Créer un utilisateur RAM
Connectez-vous à la console RAM avec votre compte Alibaba Cloud ou un utilisateur RAM disposant de privilèges administratifs.
Dans le volet de navigation de gauche, sélectionnez Identities > Users.
-
Sur la page Users, cliquez sur Create User.
-
Dans la section User Account Information, configurez les champs suivants :
Cliquez sur Add User pour créer plusieurs utilisateurs RAM simultanément.
Champ Description Logon Name Jusqu'à 64 caractères. Prend en charge les lettres, les chiffres, les points (.), les tirets (-) et les traits de soulignement (_). Display Name Jusqu'à 128 caractères. Tag Cliquez sur l'icône 
et saisissez une paire clé-valeur de tag. Les tags vous aident à organiser et filtrer les utilisateurs RAM. -
Dans la section Access Mode, sélectionnez un mode d'accès. Par mesure de sécurité, attribuez un seul mode d'accès par utilisateur RAM afin de séparer les identités humaines des identités programmatiques. Console Access : pour les membres de l'équipe qui utilisent la console Alibaba Cloud. Using permanent AccessKey to access : pour les applications qui appellent les API de manière programmatique. Le système génère automatiquement un ID AccessKey et un secret AccessKey. Pour plus de détails, consultez la rubrique Obtenir une paire AccessKey.
Important- Le secret AccessKey n'est affiché qu'une seule fois, lors de la création. Enregistrez-le immédiatement ; il est impossible de le récupérer ultérieurement. - Une paire AccessKey est un identifiant permanent. En cas de fuite, toutes les ressources du compte sont exposées. Pour les charges de travail de production, utilisez plutôt des jetons Security Token Service (STS).
Paramètre Description Set Console Password Choisissez Automatically Regenerate Default Password ou Reset Custom Password. Les mots de passe personnalisés doivent respecter les exigences de complexité définies dans votre politique de mot de passe. Password Reset Indique si l'utilisateur RAM doit réinitialiser son mot de passe lors de sa prochaine connexion. Enable MFA Indique s'il faut activer l'authentification multifacteur (MFA). Après avoir activé la MFA, associez un appareil MFA à l'utilisateur RAM. Cliquez sur OK.
Effectuez la vérification de sécurité comme indiqué.
Étape 2 : Octroyer des autorisations à l'utilisateur RAM
Vous pouvez attacher des politiques depuis la page Users ou depuis la page Grants. Ces deux chemins ouvrent le même panneau Grant Permission.
Depuis la page Users
Dans la console RAM, sélectionnez Identities > Users.
-
Recherchez l'utilisateur RAM cible et cliquez sur Add Permissions dans la colonne Actions. > Astuce : Sélectionnez plusieurs utilisateurs RAM et cliquez sur Add Permissions en bas de la page pour octroyer des autorisations en masse.
Depuis la page Grants
Dans la console RAM, sélectionnez Permissions > Grants.
-
Sur la page Permission, cliquez sur Grant Permission.
Configurer le panneau Grant Permission
Dans le panneau Grant Permission, renseignez les champs suivants :
-
Resource Scope : choisissez l'étendue de l'autorisation :
Étendue Effet Account La politique s'applique à l'ensemble du compte Alibaba Cloud. ResourceGroup La politique s'applique uniquement à un groupe de ressources spécifique. Le service cloud cible doit prendre en charge les groupes de ressources. Pour un exemple, consultez la rubrique Utiliser un groupe de ressources pour octroyer des autorisations pour une instance ECS spécifique. Principal : l'utilisateur ou les utilisateurs RAM à autoriser. Si vous avez commencé depuis la page Users, l'utilisateur actuel est présélectionné. Depuis la page Grants, vous pouvez sélectionner plusieurs utilisateurs.
-
Policy : sélectionnez une ou plusieurs politiques à attacher.
ImportantLa console signale les politiques système à haut risque telles que
AdministratorAccessetAliyunRAMFullAccess. N'attachez pas ces politiques sauf si l'utilisateur RAM nécessite un accès administratif complet.Type Description System policy Prédéfinie par Alibaba Cloud et en lecture seule. Alibaba Cloud gère les mises à jour de version. Consultez la rubrique Services compatibles avec RAM. Custom policy Créée et maintenue par vos soins. Définissez des règles d'accès granulaires pour des ressources spécifiques. Consultez la rubrique Créer une politique personnalisée. Cliquez sur Grant permissions.
Cliquez sur Close.
Se connecter en tant qu'utilisateur RAM
Une fois les autorisations octroyées, les utilisateurs RAM peuvent accéder à ApsaraMQ for Kafka de la manière suivante :
Accès à la console
Ouvrez la page Connexion utilisateur RAM.
-
Saisissez le nom de connexion, cliquez sur Next, entrez le mot de passe, puis cliquez sur Log On. Le nom de connexion suit l'un de ces formats :
<$AccountAlias>correspond à l'alias du compte. Si aucun alias n'est défini, utilisez l'ID du compte Alibaba Cloud.<$username>@<$AccountAlias><$username>@<$AccountAlias>.onaliyun.com
Accès via l'API
Utilisez l'ID AccessKey et le secret AccessKey de l'utilisateur RAM dans le code de votre application pour authentifier les requêtes API adressées à ApsaraMQ for Kafka.