Use resource groups for fine-grained access control - Auto Scaling

Utilisez les groupes de ressources pour gérer les ressources Auto Scaling en tant que collection et appliquez des politiques Resource Access Management (RAM) qui autorisent des actions uniquement sur les ressources d'un groupe spécifique. Cela vous permet d'appliquer le principe du moindre privilège (PoLP) dans votre compte Alibaba Cloud.

Remarque

Vous pouvez limiter les permissions à un groupe de ressources uniquement pour les types de ressources pris en charge et les actions. Pour les actions non prises en charge, toute étendue de groupe de ressources définie dans une politique est ignorée ; les permissions doivent alors être accordées au niveau du compte.

Fonctionnement

Les groupes de ressources organisent vos ressources par projet ou environnement. Une fois les ressources regroupées, associez une politique RAM à une identité (utilisateur RAM, groupe d'utilisateurs ou rôle) pour limiter ses permissions exclusivement à ce groupe. Pour plus d'informations, consultez la rubrique Regroupement des ressources et autorisation.

Cette approche offre deux avantages majeurs :

Contrôle d'accès granulaire : Au lieu d'accorder des permissions à l'échelle du compte, limitez l'accès d'une identité aux seules ressources d'un groupe spécifique. Vous isolez ainsi les charges de travail propres à un projet et réduisez le risque d'accès involontaire.
Gestion simplifiée : Lorsque vous ajoutez de nouvelles ressources à un groupe de ressources, les identités RAM dont les permissions sont limitées à ce groupe y obtiennent automatiquement accès. Inutile de mettre à jour les politiques RAM à chaque création de ressource.

Accorder des permissions au niveau du groupe de ressources à un utilisateur RAM

Cette section explique comment accorder à un utilisateur RAM la permission d'accéder uniquement aux ressources Auto Scaling d'un groupe de ressources spécifique.

1. Prérequis

Créer un utilisateur RAM.
Créez un groupe de ressources et assurez-vous qu'il contient les ressources cibles. Si nécessaire, consultez les rubriques Créer un groupe de ressources, Ajouter automatiquement des ressources à un groupe de ressources et Ajouter manuellement des ressources à un groupe de ressources.

2. Accorder des permissions

Accordez des permissions au niveau du groupe de ressources depuis la console Resource Management ou la console RAM.

Console Resource Management

Connectez-vous à la console Resource Management.
Sur la page Resource Group, localisez le groupe de ressources cible et cliquez sur Permission Management dans la colonne Actions.
Dans l'onglet Permissions, cliquez sur Grant Permission.
Dans le panneau Grant Permission, configurez le principal et la politique d'accès.
- Principal : Sélectionnez un utilisateur RAM.
- Policy : Sélectionnez une System Policy ou une Custom Policy. Pour plus d'informations, consultez la rubrique Créer une politique d'autorisation personnalisée.
Cliquez sur OK.

Pour plus d'informations, consultez la rubrique Accorder des permissions sur les groupes de ressources à une identité RAM.

Console RAM

Connectez-vous à la console RAM à l'aide d'un compte Alibaba Cloud ou d'un compte administrateur RAM.
Dans le volet de navigation de gauche, choisissez Identities > Users. Sur la page Users, localisez l'utilisateur RAM cible et cliquez sur Attach Policy dans la colonne Actions.
Dans le panneau Attach Policy, ajoutez des permissions pour l'utilisateur RAM.
- Resource Scope : Sélectionnez Resource Group.
- Principal : Sélectionnez un utilisateur RAM existant ou celui créé à l'étape précédente.
- Policy : Sélectionnez une System Policy ou une Custom Policy. Pour plus d'informations, consultez la rubrique Créer une politique d'autorisation personnalisée.
Cliquez sur OK.

Pour plus d'informations, consultez la rubrique Gérer les permissions des utilisateurs RAM.

Ressources prises en charge

Les ressources Auto Scaling suivantes prennent en charge l'autorisation au niveau du groupe de ressources :

Service Alibaba Cloud

Code de service

Type de ressource

Auto Scaling

ess

scalinggroup : groupe de mise à l'échelle

Remarque

Pour demander la prise en charge de types de ressources non répertoriés ici, envoyez vos commentaires via la console Resource Management.

Actions non prises en charge

Les actions Auto Scaling suivantes ne prennent pas en charge l'autorisation au niveau du groupe de ressources :

Action

Description

ess:AiChat

ess:DeleteDiagnoseReport

DeleteDiagnoseReport

ess:DescribeAlarm

ess:DescribeCandidateInstanceType

ess:DescribeElasticStrength

Interroge la capacité de mise à l'échelle d'une configuration de mise à l'échelle. Le taux de réussite des événements de scale-out dépend de cette capacité. En la vérifiant, vous permettez à Auto Scaling de mesurer ses performances et d'améliorer des configurations spécifiques.

ess:DescribeLimitation

Interroge les quotas de ressources. Par exemple, appelez l'opération DescribeLimitation pour connaître le nombre maximal de tâches planifiées créables dans un groupe de mise à l'échelle, d'équilibreurs de charge attachables, d'instances ajoutables et de configurations de mise à l'échelle créables.

ess:DescribeNotificationTypes

Interroge les types de notification. Appelez l'opération DescribeNotificationTypes pour obtenir les types de notifications liés aux événements de mise à l'échelle ou aux modifications de ressources survenus dans vos groupes de mise à l'échelle. Les notifications se déclenchent lors de scénarios tels que les succès de scale-out, les succès de scale-in, l'expiration des tâches planifiées et les succès partiels de scale-out.

ess:DescribePatternTypes

Interroge les types d'instance. Lors de l'appel à l'opération DescribePatternTypes, spécifiez des attributs tels que l'ID vSwitch, le nombre de vCPU, la taille de la mémoire, la famille d'instances et le prix maximal acceptable pour filtrer les types d'instance répondant à vos besoins métier.

ess:DescribeRegions

Vérifie si Auto Scaling est activé. Cette opération garantit que le système ajuste automatiquement le provisionnement des ressources en réponse aux variations des charges de travail ou du trafic entrant. Cette capacité de mise à l'échelle automatique améliore les performances globales du système, garantissant une haute disponibilité et une flexibilité accrue face aux demandes dynamiques.

ess:DescribeUser

ess:ExitStandBy

ess:ListTagKeys

Interroge les clés de tag ajoutées aux ressources Auto Scaling. Cette interrogation facilite la classification, l'identification et la surveillance de vos ressources Auto Scaling, améliorant ainsi la flexibilité et la commodité de votre gestion des ressources.

ess:ListTagValues

Interroge les valeurs de tag associées aux ressources Auto Scaling afin de mieux comprendre ces ressources. Vous pouvez ainsi catégoriser et gérer vos ressources Auto Scaling plus efficacement.

ess:RemoveInstances

ess:UnTagResources

Pour ces actions, créez une politique personnalisée avec l'étendue définie sur Account.

Personnalisez les exemples de politiques suivants selon vos besoins :

Autoriser l'accès en lecture seule

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ess:DescribeAlarm",
        "ess:DescribeCandidateInstanceType",
        "ess:DescribeElasticStrength",
        "ess:DescribeLimitation",
        "ess:DescribeNotificationTypes",
        "ess:DescribePatternTypes",
        "ess:DescribeRegions",
        "ess:DescribeUser",
        "ess:ListTagKeys",
        "ess:ListTagValues"
      ],
      "Resource": "*"
    }
  ]
}

Autoriser l'accès complet

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ess:AiChat",
        "ess:DeleteDiagnoseReport",
        "ess:DescribeAlarm",
        "ess:DescribeCandidateInstanceType",
        "ess:DescribeElasticStrength",
        "ess:DescribeLimitation",
        "ess:DescribeNotificationTypes",
        "ess:DescribePatternTypes",
        "ess:DescribeRegions",
        "ess:DescribeUser",
        "ess:ExitStandBy",
        "ess:ListTagKeys",
        "ess:ListTagValues",
        "ess:RemoveInstances",
        "ess:UnTagResources"
      ],
      "Resource": "*"
    }
  ]
}

Important

L'octroi de permissions au niveau du compte permet l'accès à toutes les ressources pertinentes du compte. Appliquez toujours le principe du moindre privilège (PoLP).

FAQ

Comment savoir à quel groupe de ressources appartient une ressource ?

Méthode 1 : Depuis la console du service
- Accédez à la console du service où la ressource a été créée. Sur la page des détails de la ressource, le groupe de ressources figure généralement dans la section des informations de base.
Méthode 2 : Depuis la console Resource Management
- Connectez-vous à la console Resource Management.
- Choisissez Resource Center > Resource Search.
- Dans le volet de gauche, sélectionnez le compte propriétaire de la ressource cible (la valeur par défaut est Current Account).
- Utilisez des conditions de filtre pour trouver votre ressource.
- La colonne Resource Group Name indique le groupe auquel la ressource appartient.

Comment afficher toutes les ressources d'un groupe de ressources spécifique ?

Méthode 1 :
- Connectez-vous à la console Resource Management.
- Choisissez Resource Center > Resource Search.
- Dans le volet de gauche, sous le compte propriétaire des ressources (la valeur par défaut est Current Account), cliquez sur le nom du groupe de ressources souhaité.
- Dans le volet de droite, sélectionnez le service cloud dans la liste déroulante Select resource types.
- Toutes les ressources de ce groupe s'affichent.
Méthode 2 :
- Connectez-vous à la console Resource Management.
- Choisissez Resource Group > Resource Group.
- Localisez le groupe de ressources souhaité et cliquez sur Resource Management dans la colonne Actions.
- Sur la page de gestion des ressources, sélectionnez le service cloud dans la liste déroulante Service.
- Toutes les ressources de ce groupe s'affichent.

Comment déplacer plusieurs ressources vers un autre groupe de ressources par lot ?

Connectez-vous à la console Resource Management.
Choisissez Resource Group > Resource Group.
Localisez le groupe de ressources souhaité et cliquez sur Resource Management dans la colonne Actions.
Sur la page de gestion des ressources, utilisez des conditions de filtre pour trouver les ressources à déplacer.
Cochez la case de chaque ressource.
En bas de la page, cliquez sur Transfer.
Dans la boîte de dialogue, sélectionnez le groupe de ressources de destination et cliquez sur Confirm.