Application Real-Time Monitoring Service:Use a RAM role to access ARMS resources across Alibaba Cloud accounts

Politiques d'autorisations ARMS

ARMS fournit deux politiques système. Choisissez celle qui correspond au niveau d'accès requis par le compte délégué.

Si vous attachez AliyunARMSFullAccess, il est inutile d'attacher séparément AliyunARMSReadOnlyAccess.

Prérequis

Avant de commencer, assurez-vous de disposer des éléments suivants :

• Deux comptes Alibaba Cloud : l'un possédant les ressources ARMS (propriétaire des ressources) et l'autre nécessitant un accès (compte délégué).

• Des autorisations d'administrateur RAM sur les deux comptes.

• L'ID du compte Alibaba Cloud du compte délégué (disponible sur la page Security Settings).

Étape 1 : Créer un rôle RAM (propriétaire des ressources)

Créez un rôle RAM sous le compte du propriétaire des ressources afin que le compte délégué puisse l'endosser.

1. Connectez-vous à la console RAM avec un compte administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Roles.

3. Sur la page Roles, cliquez sur Create Role.

4. Définissez le Principal Type sur Cloud Account et sélectionnez Other Account. Saisissez l'ID du compte Alibaba Cloud du compte délégué, puis cliquez sur OK.

   • Sélectionnez Current Account si un utilisateur ou un rôle RAM du même compte doit endosser ce rôle.

   • Choisissez Other Account pour un accès inter-comptes. L'ID du compte figure sur la page Security Settings.

5. (Facultatif) Restreignez les entités autorisées à endosser le rôle. Cliquez sur Switch to Policy Editor et modifiez la politique de confiance. L'éditeur prend en charge les modes Visual editor et JSON. L'exemple JSON suivant limite l'endossement du rôle à l'utilisateur RAM Alice du compte 100******0719 :

      {
        "Version": "1",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
              "RAM": "acs:ram::100******0719:user/Alice"
            },
            "Action": "sts:AssumeRole"
          }
        ]
      }

6. Saisissez un Role Name et cliquez sur OK.

Étape 2 : Accorder les autorisations ARMS au rôle RAM (propriétaire des ressources)

Par défaut, le rôle RAM ne possède aucune autorisation. Attachez une politique ARMS pour définir les ressources accessibles au compte délégué.

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Roles.

3. Localisez le rôle RAM créé à l'étape 1 et cliquez sur Grant Permission dans la colonne Actions. Vous pouvez également sélectionner plusieurs rôles RAM et cliquer sur Grant Permission en bas de la liste pour attribuer des autorisations à plusieurs rôles simultanément.

4. Dans le panneau Grant Permission, configurez les paramètres suivants :

   • Resource Scope : Sélectionnez Account pour appliquer les autorisations à l'ensemble du compte, ou Resource Group pour les limiter à un groupe de ressources spécifique. > Remarque : Si vous sélectionnez Resource Group, vérifiez que le service cloud prend en charge les groupes de ressources. Pour plus d'informations, consultez Services that work with Resource Group.

   • Principal : Le rôle RAM actuel est automatiquement sélectionné.

   • Policy : Recherchez et sélectionnez la politique ARMS correspondant au niveau d'accès requis. Vous pouvez sélectionner plusieurs politiques à la fois. Reportez-vous à la section ci-dessus sur les politiques d'autorisations ARMS pour plus de détails. > Remarque : Évitez d'attacher des politiques système à haut risque telles que AdministratorAccess ou AliyunRAMFullAccess, sauf nécessité absolue.

     • System policies : Politiques créées par Alibaba Cloud. Elles sont utilisables mais non modifiables. Pour plus d'informations, consultez Services that work with RAM.

     • Custom policies : Vous pouvez créer, mettre à jour et supprimer des politiques personnalisées selon vos besoins métier. Pour plus d'informations, consultez Create a custom policy.

5. Cliquez sur Grant permissions, puis sur Close.

Étape 3 : Créer un utilisateur RAM (compte délégué)

Créez un utilisateur RAM sous le compte délégué ; celui-ci endossera le rôle inter-comptes.

Si le compte délégué possède déjà un utilisateur RAM approprié, passez directement à l'étape 4.

1. Connectez-vous à la console RAM avec le compte Alibaba Cloud délégué ou un utilisateur RAM disposant de droits d'administrateur.

2. Dans le volet de navigation de gauche, choisissez Identities > Users.

3. Sur la page Users, cliquez sur Create User.

4. Dans la section User Account Information, configurez les éléments suivants :

   Cliquez sur Add User pour créer plusieurs utilisateurs RAM simultanément.

   Paramètre	Description
   Logon Name	Jusqu'à 64 caractères. Lettres, chiffres, points (.), traits d'union (-) et underscores (_) autorisés.
   Display Name	Jusqu'à 128 caractères.
   Tag (Facultatif)	Ajoutez un ou plusieurs tags pour organiser les utilisateurs RAM.

5. Dans la section Access Mode, sélectionnez le mode d'accès adapté à la manière dont l'utilisateur RAM accédera à ARMS. Pour garantir la sécurité de votre compte Alibaba Cloud, nous recommandons de choisir un seul mode d'accès pour cet utilisateur.

   • Console Access : Choisissez ce mode si l'utilisateur RAM correspond à une personne physique accédant à ARMS via la console Alibaba Cloud. Configurez alors les paramètres suivants :

     • Set Console Password : Sélectionnez Automatically Regenerate Default Password ou Reset Custom Password. Si vous optez pour Reset Custom Password, spécifiez un mot de passe conforme aux exigences de complexité. Pour plus d'informations, consultez Configure a password policy for RAM users.

     • Password Reset : Indiquez si l'utilisateur RAM doit réinitialiser son mot de passe lors de sa prochaine connexion.

     • Enable MFA : Précisez s'il faut activer l'authentification multifacteur (MFA) pour l'utilisateur RAM. Une fois le MFA activé, vous devez associer un périphérique MFA à cet utilisateur. Pour plus d'informations, consultez Bind an MFA device to a RAM user.

   • Using permanent AccessKey to access : Privilégiez ce mode si l'utilisateur RAM représente un programme accédant à ARMS par programmation via l'API. Le système génère automatiquement une paire d'AccessKey (AccessKey ID et AccessKey secret). Pour plus d'informations, consultez Obtain an AccessKey pair. > Important : L'AccessKey secret n'est affiché qu'une seule fois lors de la création. Enregistrez-le immédiatement. Une paire d'AccessKey constitue un identifiant permanent pour l'accès aux applications. En cas de fuite, les ressources associées au compte sont exposées à des risques potentiels. Pour les charges de travail en production, préférez les identifiants temporaires STS. Pour plus d'informations, consultez Best practices for using an access credential to call API operations.

6. Cliquez sur OK et terminez la vérification de sécurité.

Étape 4 : Accorder à l'utilisateur RAM l'autorisation d'endosser le rôle (compte délégué)

Attachez la politique AliyunSTSAssumeRoleAccess à l'utilisateur RAM pour lui permettre d'endosser le rôle inter-comptes.

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Users.

3. Localisez l'utilisateur RAM cible et cliquez sur Add Permissions dans la colonne Actions. Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Add Permissions en bas de page pour attribuer des autorisations en lot.

4. Dans le panneau Grant Permission, configurez les paramètres suivants :

   • Resource Scope : Sélectionnez Account pour appliquer les autorisations à l'ensemble du compte, ou Resource Group pour les restreindre à un groupe de ressources spécifique. > Important : Si vous choisissez Resource Group, assurez-vous que le service cloud prend en charge les groupes de ressources. Pour plus d'informations, consultez Services that work with Resource Group. Pour en savoir plus sur l'attribution d'autorisations au niveau d'un groupe de ressources, reportez-vous à Use a resource group to grant a RAM user the permissions to manage a specific ECS instance.

   • Principal : L'utilisateur RAM actuel est sélectionné automatiquement.

   • Policy : Recherchez et sélectionnez AliyunSTSAssumeRoleAccess. Vous pouvez sélectionner plusieurs politiques à la fois. > Remarque : N'attachez des politiques système sensibles comme AdministratorAccess ou AliyunRAMFullAccess qu'en cas de stricte nécessité.

     • System policies : Ces politiques sont créées par Alibaba Cloud. Elles peuvent être utilisées, mais pas modifiées. Pour plus d'informations, consultez Services that work with RAM.

     • Custom policies : Créez, mettez à jour et supprimez des politiques personnalisées en fonction de vos exigences métier. Pour plus d'informations, consultez Create a custom policy.

5. Cliquez sur Grant permissions, puis sur Close.

Accéder aux ressources ARMS en tant que compte délégué

Une fois la configuration terminée, l'utilisateur RAM du compte délégué peut accéder aux ressources ARMS appartenant au propriétaire des ressources, soit via la console, soit via l'API.

Vérifier l'accès inter-comptes

Après la configuration, vérifiez que le compte délégué accède bien aux ressources ARMS :

1. Vérification via la console : Connectez-vous en tant qu'utilisateur RAM, endossez le rôle inter-comptes et confirmez que la console ARMS affiche les données d'application du propriétaire des ressources.

2. Vérification via l'API : Appelez l'API STS AssumeRole avec les identifiants de l'utilisateur RAM et l'ARN du rôle RAM. Assurez-vous que la réponse contient des identifiants temporaires valides et que les appels ultérieurs à l'API ARMS aboutissent.

En cas d'échec d'accès, examinez les points suivants :

Rubriques connexes

• Create a custom policy -- définir des autorisations ARMS granulaires au-delà des politiques système

• Use a RAM role to grant permissions across Alibaba Cloud accounts -- guide général de configuration RAM inter-comptes

• Configure a password policy for RAM users

• Bind an MFA device to a RAM user -- renforcer la sécurité du compte