Bastionhost:Accorder des autorisations de gestion à un utilisateur RAM

Types d'autorisations

Bastionhost prend en charge les types d'autorisations suivants. Chaque type limite les actions qu'un utilisateur RAM peut effectuer dans la console Bastionhost.

Prérequis

Avant de commencer, assurez-vous d'avoir :

• Créé un utilisateur RAM au sein du compte Alibaba Cloud propriétaire de l'instance Bastionhost.

• (Facultatif). Associé un dispositif d'authentification multifacteur (MFA) virtuel à l'utilisateur RAM. Lorsqu'un dispositif MFA est associé, Bastionhost vérifie l'identité de l'utilisateur RAM à l'aide des paramètres MFA configurés lors de chaque connexion.

Accorder des autorisations à un utilisateur RAM

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Users.

3. Sur la page Users, localisez l'utilisateur RAM et cliquez sur Add Permissions dans la colonne Actions. Pour accorder des autorisations à plusieurs utilisateurs RAM simultanément, sélectionnez-les et cliquez sur Add Permissions en bas de la page.

4. Dans le panneau Add Permissions, configurez les paramètres suivants :

   • Resource Scope : Sélectionnez la portée de l'autorisation.

     • Account : L'autorisation s'applique au compte Alibaba Cloud actuel.

     • ResourceGroup : Les autorisations s'appliquent à un groupe de ressources spécifique.

     Important

     Si vous sélectionnez ResourceGroup, assurez-vous que le service cloud prend en charge les groupes de ressources. Consultez la rubrique Services compatibles avec Resource Group. Pour obtenir des instructions sur l'octroi d'autorisations limitées à un groupe de ressources, consultez la rubrique Utiliser un groupe de ressources pour accorder à un utilisateur RAM les autorisations de gestion d'une instance ECS spécifique.

   • Principal : L'utilisateur RAM auquel accorder des autorisations. L'utilisateur RAM actuel est automatiquement sélectionné.

   • Policy : Sélectionnez une ou plusieurs politiques correspondant aux types d'autorisations que vous souhaitez accorder.

     Remarque

     Lorsque vous créez une instance Bastionhost, en plus de l'autorisation AliyunYundunBastionHostFullAccess, vous avez également besoin de l'autorisation AliyunBSSOrderAccess pour payer la commande de l'instance. Sans ces autorisations, la création de l'instance échouera.

     • AliyunYundunBastionHostFullAccess : Fournit des autorisations complètes pour gérer Bastionhost.

     • AliyunBSSOrderAccess : Accorde des autorisations pour afficher, payer et annuler des commandes dans le User Center.

     La politique AliyunYundunBastionHostFullAccess accorde des autorisations uniquement pour gérer Bastionhost et afficher les détails de l'instance. Elle n'inclut pas les autorisations requises pour payer les commandes dans le User Center. Par conséquent, vous ne pouvez pas créer une instance Bastionhost avec cette seule politique.

5. Cliquez sur Grant permissions.

6. Cliquez sur Close.

FAQ

Q : Que faire si l'appel des API Bastionhost renvoie une erreur InvalidAccessKeyId ou unknown endpoint ?

Effectuez les vérifications suivantes dans l'ordre pour résoudre le problème :

1. Vérifiez les politiques d'autorisation : Assurez-vous que l'utilisateur RAM a reçu l'autorisation AliyunYundunBastionHostFullAccess ou une politique personnalisée incluant les actions Bastionhost requises. Des autorisations insuffisantes peuvent provoquer des échecs d'authentification de type InvalidAccessKeyId.

2. Spécifiez le bon endpoint : Lors de l'appel des API Bastionhost, vous devez spécifier explicitement l'endpoint régional. Par exemple, utilisez yundun-bastionhost.aliyuncs.com pour la région Chine (Shanghai). Bastionhost ne prend pas en charge la résolution d'endpoint par défaut ; ainsi, si aucun endpoint n'est spécifié, le SDK renvoie une erreur unknown endpoint.

3. Vérifiez vos AK/SK : Confirmez que l'ID de clé d'accès et la clé secrète d'accès sont valides et correctement appariés. Si vous soupçonnez que la clé secrète d'accès a été exposée ou est incorrecte, créez une nouvelle clé d'accès pour effectuer un test.

4. Vérifiez les autorisations à l'aide d'OpenAPI Explorer : Utilisez OpenAPI Explorer avec les AK/SK de l'utilisateur RAM pour tester l'opération ListHostAccounts (spécifiez le paramètre RegionId). Un appel réussi confirme que les autorisations et les AK/SK sont correctement configurés.

Q : Que faire si un utilisateur RAM signale une erreur d'autorisation ListTagResources manquante lors de la connexion à la console O&M Bastionhost ?

Cause : La politique d'autorisation en lecture seule prédéfinie pour Bastionhost n'inclut pas l'action yundun-bastionhost:ListTagResources . Lorsque la console O&M tente de charger les ressources taguées, la vérification d'autorisation échoue et renvoie une erreur d'autorisation manquante.

Solution : Créez une politique d'autorisation personnalisée dans la console RAM et accordez-la à l'utilisateur RAM concerné :

1. Connectez-vous à la console RAM.

2. Dans le volet de navigation de gauche, choisissez Permissions > Policies.

3. Cliquez sur Create Policy et passez en mode d'édition JSON.

4. Ajoutez l'action yundun-bastionhost:ListTagResources pour le service Bastionhost.

5. Finalisez la création de la politique, puis accordez la politique personnalisée à l'utilisateur RAM cible.

Q : Que faire si un utilisateur RAM signale des autorisations insuffisantes lors de l'appel d'API de gestion telles que GetWatermarkConfig ?

Cause : Ce problème survient généralement lorsque les autorisations de l'utilisateur RAM sont limitées à un groupe de ressources qui n'inclut pas l'instance Bastionhost cible. Même si l'utilisateur RAM a reçu l'autorisation AliyunYundunBastionHostFullAccess ou une autre politique de gestion, les appels d'API tels que GetWatermarkConfig échoueront si la portée du groupe de ressources ne couvre pas l'instance Bastionhost accessible.

Solution : Effectuez l'une des actions suivantes :

• Dans la console RAM, examinez la portée d'autorisation de l'utilisateur RAM. Si une autorisation au niveau du groupe de ressources est configurée, assurez-vous que le groupe de ressources inclut l'instance Bastionhost cible.

• Modifiez la Resource Scope de l'octroi d'autorisation de ResourceGroup à Account pour accorder l'accès à toutes les instances sous le compte Alibaba Cloud actuel.

Étapes suivantes

• Ajouter des hôtes

• Utiliser la fonctionnalité de gestion de base de données

• Présentation des opérations O&M