Tous les produits
Search

Ce produit

    Application Real-Time Monitoring Service:Accorder des autorisations ARMS aux utilisateurs RAM

    Centre de documentation

    Application Real-Time Monitoring Service:Accorder des autorisations ARMS aux utilisateurs RAM

    Dernière mise à jour :Sep 17, 2026

    Le partage des identifiants de votre compte Alibaba Cloud avec les membres de votre équipe expose toutes les ressources du compte à des risques de sécurité. Resource Access Management (RAM) vous permet de créer des identités utilisateur distinctes, auxquelles seules les autorisations Application Real-Time Monitoring Service (ARMS) nécessaires sont attribuées. Cette approche applique le principe du moindre privilège sans partager les identifiants de votre compte Alibaba Cloud.

    Politiques d'autorisation ARMS

    Par mesure de sécurité, créez des utilisateurs RAM pour votre compte Alibaba Cloud et attribuez-leur les autorisations adaptées à leurs besoins. Ainsi, les utilisateurs RAM peuvent exercer leurs fonctions sans exposer la clé de votre compte Alibaba Cloud. Dans cette rubrique, si l'entreprise A souhaite permettre à certains employés d'effectuer des tâches courantes d'exploitation et de maintenance, elle crée des utilisateurs RAM et leur accorde les autorisations correspondantes. Les employés utilisent ensuite ces comptes pour se connecter à la console ou appeler des opérations API.

    ARMS propose deux politiques système. Choisissez celle qui correspond au niveau d'accès requis :

    Politique

    Autorisations accordées

    Cas d'utilisation typique

    AliyunARMSFullAccess

    Afficher, modifier et supprimer des instances dans tous les sous-services ARMS

    Administrateurs configurant les tâches de surveillance, gérant les alertes et maintenant les ressources ARMS

    Remarque

    Cette politique inclut toutes les autorisations en lecture. N'attachez pas les deux politiques au même utilisateur RAM.

    AliyunARMSReadOnlyAccess

    Afficher les informations des instances dans tous les sous-services ARMS (sans possibilité de modification ou de suppression)

    Membres de l'équipe ayant uniquement besoin de consulter les tableaux de bord, les traces et les données de surveillance
    Important

    Pour accorder un accès en lecture seule limité à un groupe de ressources spécifique, attachez à la fois AliyunARMSReadOnlyAccess et l'autorisation ReadTraceApp. Sans ReadTraceApp, ARMS ne peut pas afficher la liste des applications pour ce groupe de ressources.

    Prérequis

    Avant de commencer, assurez-vous d'avoir :

    Étape 1 : Créer un utilisateur RAM

    Procédure

    Console

    1. Connectez-vous à la console RAM en utilisant votre compte Alibaba Cloud ou en tant qu'utilisateur RAM disposant d'autorisations administratives (un utilisateur auquel la politique AliyunRAMFullAccess est attachée).

    2. Dans le volet de navigation de gauche, sélectionnez Identities > Users.

    3. Sur la page Users, cliquez sur Create User.

    4. Sur la page Create User, dans la section User Account Information, configurez les informations de base de l'utilisateur.

      • Logon Name (obligatoire) : Jusqu'à 64 caractères. Autorise les lettres, les chiffres, les points (.), les tirets (-) et les underscores (_).

      • Display Name (facultatif) : Le nom peut comporter jusqu'à 128 caractères.

      • Tag (facultatif) : Cliquez sur editedit, puis saisissez une clé de tag et une valeur de tag pour catégoriser et gérer les utilisateurs.

      Remarque

      Cliquez sur Add User pour créer plusieurs utilisateurs RAM en masse.

    5. Dans la section Access Mode, sélectionnez un mode d'accès en fonction du type d'utilisateur.

      Important

      • Par bonne pratique de sécurité, sélectionnez un seul mode d'accès par utilisateur afin de séparer l'accès humain à la console de l'accès programmatique des applications. Si un utilisateur RAM a besoin à la fois de se connecter à la console et d'appeler des API, vous pouvez sélectionner les deux modes d'accès. Après avoir sélectionné Permanent AccessKey, cochez la case I confirm that I must create an AccessKey pour continuer.

      • Une fuite d'une paire AccessKey compromet votre compte. Utilisez plutôt des jetons Security Token Service (STS) (identifiants temporaires) pour réduire les risques. Bonnes pratiques pour l'utilisation des identifiants d'accès lors de l'appel des API Alibaba Cloud.

      Console access

      Sélectionnez Console Access.

      Programmatic access

      Sélectionnez Permanent AccessKey.

      Le système crée automatiquement un AccessKey ID et un AccessKey secret pour l'utilisateur RAM.

      Important

      L'AccessKey secret n'est affiché qu'à la création et ne peut pas être récupéré ultérieurement. Vous devez immédiatement télécharger ou copier et sauvegarder l'AccessKey secret. Une fuite d'une paire AccessKey compromet toutes les ressources de votre compte. Créer une paire AccessKey.

    OpenAPI

    Créer un utilisateur RAM pour l'accès à la console

    1. Appelez l'opération GetDefaultDomain pour obtenir le suffixe de connexion par défaut d'un compte. Le format est <AccountAlias>.onaliyun.com.

    2. Appelez l'opération CreateUser pour créer un utilisateur RAM. Les paramètres suivants sont requis :

      1. UserPrincipalName : Le nom de connexion d'un utilisateur RAM. Le format est <username>@<AccountAlias>.onaliyun.com, où <username> est le nom d'utilisateur RAM et <AccountAlias>.onaliyun.com est le suffixe de connexion par défaut.

      2. DisplayName : Le nom d'affichage de l'utilisateur RAM. Il peut différer du <username> ci-dessus.

    3. Appelez l'opération CreateLoginProfile pour créer un profil de connexion et configurer le mode d'accès ainsi que l'authentification MFA. Paramètres recommandés :

      1. UserPrincipalName : L'utilisateur créé à l'étape précédente.

      2. Password : Définissez-le conformément aux exigences de robustesse du mot de passe du compte. Appelez l'opération GetPasswordPolicy pour interroger la politique de mot de passe actuelle.

      3. MFABindRequired : Définissez sur true pour exiger l'authentification MFA pour les utilisateurs RAM.

      4. Status : Active ou désactive la connexion par mot de passe à la console. Valeur par défaut : Active.

    Créer un utilisateur RAM pour l'accès programmatique

    1. Appelez l'opération GetDefaultDomain pour obtenir le suffixe de connexion par défaut d'un compte. Le suffixe est au format <AccountAlias>.onaliyun.com.

    2. Appelez l'opération CreateUser pour créer un utilisateur RAM. Les paramètres suivants sont requis :

      1. UserPrincipalName : Le nom de connexion d'un utilisateur RAM au format <username>@<AccountAlias>.onaliyun.com, où <username> est le nom d'utilisateur RAM et <AccountAlias>.onaliyun.com est le suffixe de connexion par défaut.

      2. DisplayName : Le nom d'affichage de l'utilisateur RAM, qui peut différer du <username> ci-dessus.

    3. Pour créer une paire AccessKey (AccessKey), appelez l'opération CreateAccessKey et transmettez uniquement le UserPrincipalName de l'utilisateur que vous avez créé à l'étape précédente.

      Important

      La réponse de l'opération CreateAccessKey contient l'AccessKeyId et l'AccessKeySecret. L'AccessKeySecret n'est affiché qu'une seule fois et ne peut pas être récupéré ultérieurement — sauvegardez-le immédiatement. Une fuite d'une AccessKey compromet toutes les ressources de votre compte. Pour plus d'informations, consultez la rubrique Créer une AccessKey.

    Étape 2 : Accorder des autorisations ARMS à l'utilisateur RAM

    Console

    La console RAM propose deux points d'entrée, prenant tous deux en charge l'autorisation unique et groupée :

    • Page Users : Le principal est automatiquement sélectionné en fonction des utilisateurs que vous choisissez. Idéal pour les workflows centrés sur l'utilisateur.

    • Page Grants : Vous sélectionnez manuellement les principaux et pouvez afficher tous les enregistrements d'autorisation de votre compte. Idéal pour les workflows centrés sur les autorisations.

    Remarque

    Conseil : Pour une gestion à grande échelle, ajoutez les utilisateurs RAM ayant des responsabilités identiques à un groupe d'utilisateurs, puis accordez des autorisations au groupe. Accédez à Identities > User Groups pour gérer les groupes.

    Depuis la page Users

    1. Connectez-vous à la console RAM.

    2. Dans le volet de navigation de gauche, sélectionnez Identities > Users.

    3. Sur la page Users, recherchez l'utilisateur RAM cible et cliquez sur la colonne Actions > Attach Policy.

      Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Attach Policy sous la liste des utilisateurs pour une autorisation groupée.

    4. Dans le panneau Grant Permission, configurez les paramètres suivants :

      • Resource scope :

        • Account level : Les autorisations s'appliquent à toutes les ressources de votre compte Alibaba Cloud.

        • Resource group level : Les autorisations s'appliquent uniquement au sein du groupe de ressources spécifié. Après la connexion, l'utilisateur RAM doit basculer vers le groupe de ressources autorisé dans la barre de navigation supérieure.

          Remarque

          1. Le système marque les politiques système à haut risque (telles que AdministratorAccess et AliyunRAMFullAccess) avec un indicateur d'avertissement. Ces politiques accordent généralement un contrôle total sur toutes les ressources cloud ou une gestion complète de RAM. Accordez ces politiques avec prudence.

          2. Pour des exemples d'autorisation au niveau du groupe de ressources, consultez la rubrique Contrôler l'accès des utilisateurs RAM à des instances ECS spécifiques.

      • Principal :

        Le principal est l'utilisateur RAM recevant les autorisations. Depuis la page Users, le système sélectionne automatiquement l'utilisateur actuel. Depuis la page Grants, vous devez sélectionner manuellement l'utilisateur. La sélection groupée est prise en charge.

      • Permission policy :

        • System policy : Recherchez et sélectionnez. Filtrez par nom de produit (par exemple, ECS, OSS), niveau d'accès (par exemple, ReadOnly, FullAccess) ou nom complet de la politique. Par exemple, pour accorder des autorisations de gestion financière (dépenses et coûts), recherchez BSS pour trouver AliyunBSSFullAccess (accès complet à Billing and Cost Management) et d'autres politiques liées aux finances.

          Le tableau suivant répertorie les noms des politiques système pour les produits Alibaba Cloud couramment demandés, afin de vous aider à trouver rapidement la politique appropriée.

          Produit

          Nom de la politique système

          Niveau d'accès

          Gestion de la facturation et des coûts (finance)

          AliyunBSSFullAccess

          Accès complet

          Cloud Monitor

          AliyunCloudMonitorReadOnlyAccess

          Lecture seule

          China Gateway (Website Builder)

          AliyunWebsiteBuildFullAccess

          Accès complet

          Alibaba Cloud DevOps

          AliyunYunxiaoFullAccess

          Accès complet

          Model Studio (Bailian)

          AliyunBailianFullAccess

          Accès complet

          Alibaba Cloud DNS

          AliyunDNSFullAccess

          Accès complet

          SSL Certificates Service

          AliyunYundunCertFullAccess

          Accès complet

          Cloud Phone

          AliyunECDFullAccess

          Accès complet

          Support Center

          AliyunSupportFullAccess

          Accès complet

          Resource Center

          AliyunResourceCenterFullAccess

          Accès complet

          AgentBay

          AliyunAgentBayFullAccess

          Accès complet

          Security Center

          AliyunYundunSASFullAccess

          Accès complet

          Si vous ne trouvez pas la politique pour votre produit cible, consultez la rubrique Référence des politiques système pour obtenir la liste complète, ou créez une politique personnalisée pour un contrôle d'accès granulaire.

        • Custom policy : Vous devez Créer une politique personnalisée avant de pouvoir l'accorder.

        • Limite de pagination pour « Tout sélectionner » : La liste des politiques est paginée. La sélection de tout s'applique uniquement à la page actuelle. Lorsque vous changez de page, les politiques précédemment sélectionnées restent dans la liste de sélection, mais les politiques de la nouvelle page ne sont pas automatiquement sélectionnées ; vous devez les sélectionner page par page.

        • Accorder rapidement des autorisations d'administrateur : Pour accorder des autorisations d'administrateur, recherchez AdministratorAccess dans la zone de recherche et sélectionnez-la directement, au lieu de sélectionner les politiques page par page. La sélection de cette politique déclenche un avertissement d'autorisation à haut risque.

      • (Facultatif) Description : Saisissez la raison de l'autorisation ou le scénario à des fins d'audit.

      • Cliquez sur Confirm.

    5. Vérifiez le résultat de l'autorisation et cliquez sur Close.

    Depuis la page Grants

    1. Connectez-vous à la console RAM.

    2. Dans le volet de navigation de gauche, sélectionnez Permissions > Grants.

    3. Sur la page Grants, cliquez sur Grant Permission.

    4. Dans le panneau Grant Permission, sélectionnez le principal et configurez les mêmes paramètres que décrits ci-dessus.

    5. Vérifiez le résultat de l'autorisation et cliquez sur Close.

    Remarque

    Les utilisateurs RAM créés via la fonctionnalité Quick Start sur la page d'accueil de la console RAM reçoivent automatiquement la politique système correspondante en fonction du scénario sélectionné, sans nécessiter d'autorisation manuelle :

    • Super user : Reçoit automatiquement la politique PowerUserAccess. Cet utilisateur peut gérer les services cloud et les ressources, mais ne peut pas gérer les identités RAM et leurs autorisations, les annuaires de ressources ou les comptes de facturation.

    • Account administrator : Reçoit automatiquement la politique AdministratorAccess. Cet utilisateur peut gérer toutes les ressources Alibaba Cloud, y compris les identités et autorisations RAM.

    Utilisez ces options uniquement lorsque des privilèges de super administrateur sont réellement nécessaires. Pour les opérations courantes, respectez le principe du moindre privilège et n'accordez que les autorisations requises pour la tâche spécifique.

    OpenAPI

    Accorder une custom policy

    1. Appelez l'opération CreatePolicy pour créer une custom policy. Pour la syntaxe des politiques, consultez les rubriques Éléments des politiques d'autorisation et Présentation des exemples de politiques.

    2. Appelez l'opération AttachPolicyToUser pour accorder la politique au niveau du account level (définissez PolicyType sur Custom).

      Vous pouvez également appeler l'opération AttachPolicy pour accorder la politique au niveau du resource group level.

    Accorder une system policy

    • Appelez l'opération AttachPolicyToUser pour attacher la politique système à l'utilisateur RAM (définissez PolicyType sur System). Pour connaître les valeurs disponibles de PolicyName, consultez la rubrique Référence des politiques système.

    • Vous pouvez également appeler l'opération AttachPolicy pour accorder la politique au niveau du resource group level.

    Étapes suivantes

    Après avoir créé et autorisé un utilisateur RAM, partagez les identifiants avec le membre de l'équipe.

    Se connecter à la console en tant qu'utilisateur RAM

    1. Accédez à la page Connexion utilisateur RAM.

    2. Sur l'onglet page RAM User Logon , saisissez votre nom d'utilisateur et cliquez sur Next. Le nom d'utilisateur est généralement au format <RAM-username>@<default-domain-name> ou <RAM-username>@<domain-alias>. Pour plus d'informations sur la consultation et la modification de votre nom de domaine par défaut et de votre alias de domaine, consultez la rubrique Gérer les paramètres de connexion d'un utilisateur RAM.

    3. Saisissez votre mot de passe et cliquez sur Log On.

      Remarque

      Si le système détecte que votre mot de passe est faible lors de la connexion, vous êtes redirigé vers une page de réinitialisation du mot de passe. Nous vous recommandons de le remplacer par un mot de passe plus robuste. Vous pouvez ignorer cette étape sans affecter la connexion actuelle. Pour plus d'informations, consultez l'annonce.

    4. (Facultatif) Si vous avez activé l'authentification multifacteur (MFA), vous devez également effectuer la vérification MFA. Pour plus d'informations, consultez les rubriques Authentification multifacteur (MFA) et Activer un appareil MFA pour un utilisateur RAM.

    Appeler des opérations API avec la paire AccessKey de l'utilisateur RAM

    Spécifiez l'AccessKey ID et l'AccessKey secret de l'utilisateur RAM dans vos appels API.