Resource Access Management (RAM) vous permet de créer des comptes distincts pour les membres de votre équipe et d'accorder à chacun uniquement les autorisations nécessaires. Plutôt que de partager la paire de clés AccessKey de votre compte Alibaba Cloud, ce qui expose vos identifiants, attribuez aux utilisateurs RAM un accès granulaire aux ressources ApsaraMQ for RocketMQ, telles que les instances, les topics et les groupes. Seuls les utilisateurs RAM autorisés peuvent gérer les ressources dans la console ApsaraMQ for RocketMQ et publier ou s'abonner à des messages via les SDK et les opérations API.
Avantages :
Contrôle d'accès basé sur les rôles. Autorisez les développeurs à publier et à s'abonner à des messages, tout en limitant les opérateurs à la création et à la gestion des ressources.
Facturation centralisée. L'activité des utilisateurs RAM est facturée au compte Alibaba Cloud parent, sans suivi des coûts distinct.
Révocation instantanée. Supprimez les autorisations ou l'utilisateur RAM à tout moment.
Prérequis
Avant de commencer, assurez-vous de disposer des éléments suivants :
Un compte Alibaba Cloud avec ApsaraMQ for RocketMQ activé
Les autorisations nécessaires pour gérer les utilisateurs RAM sur le compte Alibaba Cloud
Pour plus d'informations sur RAM, consultez Qu'est-ce que RAM ?.
Procédure
Étape 1 : Créer un utilisateur RAM
Créez un utilisateur RAM pour chaque membre de l'équipe nécessitant un accès à ApsaraMQ for RocketMQ.
Pour des instructions détaillées, consultez Créer un utilisateur RAM.
Étape 2 (Facultative) : Créer des politiques personnalisées
Créez des politiques personnalisées pour définir des autorisations granulaires pour les instances, les topics et les groupes.
Consultez Créer des politiques personnalisées pour les instructions générales, et Politiques personnalisées pour ApsaraMQ for RocketMQ pour des exemples de politiques spécifiques à ce produit.
Étape 3 : Attacher des politiques à l'utilisateur RAM
Attachez les politiques personnalisées à l'utilisateur RAM.
Pour des instructions étape par étape, consultez Accorder des autorisations à un utilisateur RAM.
Utiliser les identifiants de l'utilisateur RAM
Une fois l'utilisateur RAM créé et les autorisations attribuées, partagez ses identifiants avec le membre de l'équipe concerné. L'utilisateur RAM peut accéder à ApsaraMQ for RocketMQ via la console ou l'API.
Se connecter à la console
Ouvrez la page Connexion de l'utilisateur RAM.
-
Saisissez le nom de connexion de l'utilisateur RAM, cliquez sur Next, saisissez le mot de passe, puis cliquez sur Login.
RemarqueLe nom de connexion utilise le format
<$username>@<$AccountAlias>
ou
<$username>@<$AccountAlias>.onaliyun.com
.
<$AccountAlias>
correspond à l'alias du compte. Si aucun alias de compte n'est défini, l'ID du compte Alibaba Cloud est utilisé à la place.
Dans la console Alibaba Cloud, recherchez ApsaraMQ for RocketMQ dans la barre de recherche supérieure pour ouvrir la console du produit.
Appeler des opérations API
Incluez l'AccessKey ID et l'AccessKey Secret de l'utilisateur RAM dans vos requêtes API. Pour créer une paire de clés AccessKey pour l'utilisateur RAM, consultez Créer une paire de clés AccessKey.
Bonnes pratiques
Appliquez le principe du moindre privilège. N'accordez que les autorisations minimales requises pour chaque tâche. Évitez d'accorder un accès administrateur complet sauf si nécessaire.
Utilisez des utilisateurs RAM distincts par personne. Ne partagez pas les identifiants des utilisateurs RAM entre les membres de l'équipe. Cela garantit des pistes d'audit précises et facilite la révocation de l'accès pour une personne spécifique.