Application Real-Time Monitoring Service:Use a RAM role to access ARMS resources across Alibaba Cloud accounts

Politiques d'autorisation ARMS

ARMS propose deux politiques système. Choisissez celle qui correspond au niveau d'accès requis par le compte délégué.

Si vous attachez AliyunARMSFullAccess, il n'est pas nécessaire d'attacher séparément AliyunARMSReadOnlyAccess.

Prérequis

Avant de commencer, assurez-vous de disposer des éléments suivants :

• Deux comptes Alibaba Cloud : l'un propriétaire des ressources ARMS (propriétaire des ressources) et l'autre nécessitant un accès (compte délégué)

• Des autorisations d'administrateur RAM sur les deux comptes

• L'ID du compte Alibaba Cloud du compte délégué (disponible sur la page Security Settings)

Étape 1 : Créer un rôle RAM (propriétaire des ressources)

Créez un rôle RAM sous le compte du propriétaire des ressources, que le compte délégué pourra endosser.

1. Connectez-vous à la console RAM avec un compte disposant des droits d'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Roles.

3. Sur la page Roles, cliquez sur Create Role.

4. Définissez le paramètre Principal Type sur Cloud Account et sélectionnez Other Account. Saisissez l'ID du compte Alibaba Cloud du compte délégué, puis cliquez sur OK.

   • Sélectionnez Current Account si un utilisateur ou un rôle RAM du même compte doit endosser ce rôle.

   • Sélectionnez Other Account pour un accès inter-comptes. Vous trouverez l'ID du compte sur la page Security Settings.

5. (Facultatif) Restreignez les principaux pouvant endosser le rôle. Cliquez sur Switch to Policy Editor et modifiez la politique de confiance. L'éditeur prend en charge les modes Visual editor et JSON. L'exemple JSON suivant restreint l'endossement du rôle à l'utilisateur RAM Alice du compte 100******0719 :

      {
        "Version": "1",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
              "RAM": "acs:ram::100******0719:user/Alice"
            },
            "Action": "sts:AssumeRole"
          }
        ]
      }

6. Saisissez un Role Name et cliquez sur OK.

Étape 2 : Accorder des autorisations ARMS au rôle RAM (propriétaire des ressources)

Par défaut, le rôle RAM ne dispose d'aucune autorisation. Attachez une politique ARMS pour définir ce à quoi le compte délégué peut accéder.

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Roles.

3. Recherchez le rôle RAM créé à l'étape 1 et cliquez sur Grant Permission dans la colonne Actions. Vous pouvez également sélectionner plusieurs rôles RAM et cliquer sur Grant Permission en bas de la liste des rôles pour accorder des autorisations à plusieurs rôles RAM simultanément.

4. Dans le panneau Grant Permission, configurez les paramètres suivants :

   • Resource Scope : Sélectionnez Account pour appliquer les autorisations à l'ensemble du compte, ou Resource Group pour limiter les autorisations à un groupe de ressources spécifique. > Remarque : Si vous sélectionnez Resource Group, assurez-vous que le service cloud prend en charge les groupes de ressources. Pour plus d'informations, consultez la page Services that work with Resource Group.

   • Principal : Le rôle RAM actuel est automatiquement sélectionné.

   • Policy : Recherchez et sélectionnez la politique ARMS correspondant au niveau d'accès requis. Vous pouvez sélectionner plusieurs politiques simultanément. Consultez la section « Politiques d'autorisation ARMS » ci-dessus pour plus de détails. > Remarque : Évitez d'attacher des politiques système à haut risque telles que AdministratorAccess ou AliyunRAMFullAccess, sauf si cela est absolument nécessaire.

     • System policies : Politiques créées par Alibaba Cloud. Vous pouvez utiliser ces politiques, mais vous ne pouvez pas les modifier. Pour plus d'informations, consultez la page Services that work with RAM.

     • Custom policies : Vous pouvez créer, mettre à jour et supprimer des politiques personnalisées selon vos besoins métier. Pour plus d'informations, consultez la page Create a custom policy.

5. Cliquez sur Grant permissions, puis sur Close.

Étape 3 : Créer un utilisateur RAM (compte délégué)

Créez un utilisateur RAM sous le compte délégué qui endossera le rôle inter-comptes.

Si le compte délégué dispose déjà d'un utilisateur RAM approprié, passez directement à l'étape 4.

1. Connectez-vous à la console RAM avec le compte Alibaba Cloud délégué ou un utilisateur RAM disposant de droits administratifs.

2. Dans le volet de navigation de gauche, choisissez Identities > Users.

3. Sur la page Users, cliquez sur Create User.

4. Dans la section User Account Information, configurez les éléments suivants :

   Vous pouvez cliquer sur Add User pour créer plusieurs utilisateurs RAM simultanément.

   Paramètre	Description
   Logon Name	Jusqu'à 64 caractères. Prend en charge les lettres, les chiffres, les points (.), les traits d'union (-) et les underscores (_).
   Display Name	Jusqu'à 128 caractères.
   Tag (Facultatif)	Ajoutez un ou plusieurs tags pour organiser les utilisateurs RAM.

5. Dans la section Access Mode, sélectionnez le mode d'accès en fonction de la manière dont l'utilisateur RAM accédera à ARMS. Pour garantir la sécurité de votre compte Alibaba Cloud, nous vous recommandons de ne sélectionner qu'un seul mode d'accès pour l'utilisateur RAM.

   • Console Access : Sélectionnez ce mode si l'utilisateur RAM représente une personne physique accédant à ARMS via la console Alibaba Cloud. Configurez les paramètres suivants :

     • Set Console Password : Sélectionnez Automatically Regenerate Default Password ou Reset Custom Password. Si vous sélectionnez Reset Custom Password, vous devez spécifier un mot de passe répondant aux exigences de complexité. Pour plus d'informations, consultez la page Configure a password policy for RAM users.

     • Password Reset : Indiquez si l'utilisateur RAM doit réinitialiser son mot de passe lors de sa prochaine connexion.

     • Enable MFA : Indiquez si vous souhaitez activer l'authentification multifacteur (MFA) pour l'utilisateur RAM. Après avoir activé la MFA, vous devez associer un dispositif MFA à l'utilisateur RAM. Pour plus d'informations, consultez la page Bind an MFA device to a RAM user.

   • Using permanent AccessKey to access : Sélectionnez ce mode si l'utilisateur RAM représente un programme accédant à ARMS de manière programmatique via l'API. Le système génère automatiquement une paire AccessKey (AccessKey ID et AccessKey secret). Pour plus d'informations, consultez la page Obtain an AccessKey pair. > Important : Le AccessKey secret n'est affiché qu'une seule fois lors de la création. Enregistrez-le immédiatement. Une paire AccessKey constitue un identifiant permanent pour l'accès applicatif. Si une paire AccessKey est divulguée, les ressources appartenant au compte sont exposées à des risques potentiels. Pour les charges de travail de production, utilisez plutôt des identifiants temporaires STS. Pour plus d'informations, consultez la page Best practices for using an access credential to call API operations.

6. Cliquez sur OK et effectuez la vérification de sécurité.

Étape 4 : Accorder à l'utilisateur RAM l'autorisation d'endosser le rôle (compte délégué)

Attachez la politique AliyunSTSAssumeRoleAccess à l'utilisateur RAM afin qu'il puisse endosser le rôle inter-comptes.

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Users.

3. Recherchez l'utilisateur RAM cible et cliquez sur Add Permissions dans la colonne Actions. Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Add Permissions en bas de la page pour accorder des autorisations à plusieurs utilisateurs RAM simultanément.

4. Dans le panneau Grant Permission, configurez les paramètres suivants :

   • Resource Scope : Sélectionnez Account pour appliquer les autorisations à l'ensemble du compte, ou Resource Group pour limiter les autorisations à un groupe de ressources spécifique. > Important : Si vous sélectionnez Resource Group, assurez-vous que le service cloud prend en charge les groupes de ressources. Pour plus d'informations, consultez la page Services that work with Resource Group. Pour savoir comment accorder des autorisations sur un groupe de ressources, consultez la page Use a resource group to grant a RAM user the permissions to manage a specific ECS instance.

   • Principal : L'utilisateur RAM actuel est automatiquement sélectionné.

   • Policy : Recherchez et sélectionnez AliyunSTSAssumeRoleAccess. Vous pouvez sélectionner plusieurs politiques simultanément. > Remarque : Évitez d'attacher des politiques système à haut risque telles que AdministratorAccess ou AliyunRAMFullAccess, sauf si cela est absolument nécessaire.

     • System policies : Politiques créées par Alibaba Cloud. Vous pouvez utiliser ces politiques, mais vous ne pouvez pas les modifier. Pour plus d'informations, consultez la page Services that work with RAM.

     • Custom policies : Vous pouvez créer, mettre à jour et supprimer des politiques personnalisées selon vos besoins métier. Pour plus d'informations, consultez la page Create a custom policy.

5. Cliquez sur Grant permissions, puis sur Close.

Accéder aux ressources ARMS en tant que compte délégué

Une fois la configuration terminée, l'utilisateur RAM du compte délégué peut accéder aux ressources ARMS appartenant au propriétaire des ressources, soit via la console, soit via l'API.

Vérifier l'accès inter-comptes

Après la configuration, vérifiez que le compte délégué peut accéder aux ressources ARMS :

1. Vérification via la console : Connectez-vous en tant qu'utilisateur RAM, endossez le rôle inter-comptes et confirmez que la console ARMS affiche les données d'application du propriétaire des ressources.

2. Vérification via l'API : Appelez l'API STS AssumeRole avec les identifiants de l'utilisateur RAM et l'ARN du rôle RAM. Confirmez que la réponse renvoie des identifiants temporaires valides et que les appels API ARMS ultérieurs aboutissent.

Si l'accès échoue, vérifiez les points suivants :

Rubriques connexes

• Create a custom policy — définissez des autorisations ARMS fines allant au-delà des politiques système

• Use a RAM role to grant permissions across Alibaba Cloud accounts — guide général de configuration inter-comptes RAM

• Configure a password policy for RAM users

• Bind an MFA device to a RAM user — renforcez la sécurité du compte