ApsaraMQ for RabbitMQ:RAM users

Contexte

L'entreprise A a activé le service ApsaraMQ for RabbitMQ. Elle souhaite que ses employés gèrent les ressources du service ApsaraMQ for RabbitMQ, telles que les instances, les Vhosts, les files d'attente et les exchanges. Les employés ayant des responsabilités professionnelles différentes, ils nécessitent des niveaux d'autorisation distincts. Voici les exigences de l'entreprise A :

• Pour des raisons de sécurité ou de confiance, l'entreprise ne souhaite pas partager directement la clé AccessKey de son compte Alibaba Cloud avec ses employés. Elle préfère créer des comptes utilisateurs distincts pour chacun d'eux.

• Les utilisateurs peuvent gérer les ressources uniquement dans le cadre des autorisations qui leur sont accordées. Toutes les utilisations de ressources sont facturées au compte Alibaba Cloud de l'entreprise, et non aux comptes utilisateurs individuels.

• L'entreprise peut révoquer les autorisations d'un utilisateur ou supprimer un compte utilisateur à tout moment.

Étape 1 : Créer un utilisateur RAM

Pour créer des utilisateurs RAM destinés à ses employés, connectez-vous à la console RAM à l'aide du compte Alibaba Cloud de l'entreprise A.

Étape 2 : Accorder des autorisations aux utilisateurs RAM

Accordez des autorisations différentes à différents utilisateurs RAM.

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Users.

3. Recherchez l'utilisateur RAM souhaité et cliquez sur Attach Policy dans la colonne Actions.

4. Dans le panneau Attach Policy, accordez des autorisations à l'utilisateur RAM.

   1. Sélectionnez une Resource Scope.

      • Account : Les autorisations s'appliquent au compte Alibaba Cloud actuel.

      • Resource Group : Les autorisations s'appliquent au groupe de ressources spécifié.

        Remarque

        Une autorisation pour un groupe de ressources prend effet uniquement si le service cloud prend en charge les groupes de ressources. Pour plus d'informations, consultez la rubrique Services cloud prenant en charge les groupes de ressources.

   2. Spécifiez un Principal.

      Le principal correspond à l'utilisateur RAM auquel vous accordez des autorisations.

   3. Sélectionnez Policy.

      Une stratégie est un ensemble d'autorisations. Il existe deux types de stratégies :

      • System Policy : Créées et maintenues par Alibaba Cloud. Vous pouvez utiliser ces stratégies, mais vous ne pouvez pas les modifier. Pour plus d'informations, consultez la rubrique Services compatibles avec RAM.

      • Custom Policy : Vous pouvez créer, mettre à jour et supprimer ces stratégies. Pour plus d'informations, consultez la rubrique Créer une stratégie personnalisée.

      Pour configurer des autorisations granulaires pour les ressources ApsaraMQ for RabbitMQ, telles que les instances, les Vhosts et les files d'attente, créez une stratégie personnalisée. L'exemple suivant montre un fichier JSON de stratégie personnalisée :

      {
        "Version": "1",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": "amqp:*",
            "Resource": "acs:amqp:*:*:instance/<InstanceID>/vhost/<VhostName>"
          }
        ]
      }

      Remplacez <InstanceID> par l'ID réel de l'instance et <VhostName> par le nom réel du Vhost. Le champ Resource prend en charge les niveaux de granularité suivants :

      • Niveau instance : acs:amqp:*:*:instance/<InstanceID>

      • Niveau Vhost : acs:amqp:*:*:instance/<InstanceID>/vhost/<VhostName>

      • Niveau file d'attente : acs:amqp:*:*:instance/<InstanceID>/vhost/<VhostName>/queue/<QueueName>

      Remarque

      Le système identifie automatiquement les stratégies système à haut risque, telles que AdministratorAccess et AliyunRAMFullAccess. Lors de l'attribution des autorisations, évitez d'accorder des stratégies à haut risque inutiles.

      Dépannage : Autorisations RAM insuffisantes

      Si vous rencontrez des erreurs liées aux autorisations lors de la connexion ou de la consommation de messages depuis ApsaraMQ for RabbitMQ, vérifiez les points suivants :

      • BrokerUnreachableException ou InstanceNotServing (.NET SDK) : Si votre client .NET SDK signale une exception BrokerUnreachableException ou InstanceNotServing et que la connexion réseau est vérifiée comme normale, vérifiez si l'utilisateur RAM dispose des autorisations d'opération pour l'instance et le Vhost cibles. Mettez à jour la stratégie personnalisée pour accorder les autorisations amqp:* sur les ressources concernées.

      • AccessDeniedByRamPolicy (consommation de file d'attente différée) : Si la consommation de la file d'attente différée est interrompue ou si des messages s'accumulent et que l'erreur AccessDeniedByRamPolicy est signalée, vérifiez si l'utilisateur RAM dispose des autorisations d'opération pour l'instance, le Vhost et les files d'attente spécifiques cibles (par exemple, event_task_result_query et event_task_status). Mettez à jour le champ Resource de votre stratégie personnalisée pour inclure les files d'attente concernées.

   4. Cliquez sur Grant permissions.

5. Cliquez sur Close.

Étapes suivantes

Les utilisateurs RAM peuvent accéder à ApsaraMQ for RabbitMQ de la manière suivante.

• Console

  1. Ouvrez la page de connexion des utilisateurs RAM dans votre navigateur.

  2. Sur la page RAM User Logon, saisissez le nom d'utilisateur RAM, cliquez sur Next, entrez le mot de passe, puis cliquez sur Log On.

     Remarque

     Le nom d'utilisateur RAM doit être au format <$username>@<$AccountAlias> ou <$username>@<$AccountAlias>.onaliyun.com. <$AccountAlias> correspond à l'alias du compte. Si aucun alias de compte n'est défini, l'ID du compte Alibaba Cloud est utilisé par défaut.

• API

  Utilisez l'AccessKey ID et l'AccessKey Secret de l'utilisateur RAM dans votre code pour appeler l'API et accéder à ApsaraMQ for RabbitMQ.