Cloud Architect Design Tools:Créer et utiliser des stratégies personnalisées CADT

Prérequis

Avant de créer une stratégie personnalisée, assurez-vous de comprendre la structure de base et la syntaxe du langage des stratégies. Pour plus d'informations, consultez la rubrique Structure et syntaxe des stratégies.

Stratégies personnalisées CADT

Cloud Architect Design Tools (CADT) propose trois modèles de stratégies personnalisées courantes que vous pouvez configurer :

Procédure

Créer un utilisateur RAM

1. Connectez-vous à la console Resource Access Management (RAM).

2. Créez un utilisateur de test nommé cadt-user. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM. Dans le volet de navigation de gauche, sélectionnez Identities > Users. Sur la page Users, localisez l'utilisateur cadt-user que vous avez créé.

Créer une stratégie personnalisée CADT

1. Créez une stratégie personnalisée avec des autorisations en lecture seule. Connectez-vous à la console RAM. Dans le volet de navigation de gauche, sélectionnez Permissions > Policies, puis cliquez sur Create Policy.

2. Sur la page Create Policy, cliquez sur l'onglet JSON. Copiez le contenu du Fichier de configuration des autorisations en lecture seule dans l'éditeur, puis cliquez sur Next to edit policy information.

   Remarque

   Le script accorde des autorisations en lecture seule pour un nombre limité de services Alibaba Cloud. Personnalisez le script afin qu'il réponde à vos exigences spécifiques.

   Le script inclut une instruction de stratégie pour OSS. Les actions comprennent oss:PutObject, oss:IsObjectExist, oss:ListObjects, oss:GetObject, oss:DeleteObject et oss:GetBucket. La ressource est acs:oss:*:*:cnfs-oss*.

3. Nommez la stratégie « cadt-read-only » et cliquez sur OK.

4. De la même manière, créez des stratégies personnalisées pour les autorisations d'importation (cadt-import) et les autorisations de gestion (cadt-deploy). Sur la page Policies, filtrez par Custom Policy pour afficher les trois stratégies personnalisées CADT que vous avez créées : cadt-read-only, cadt-import et cadt-deploy.

Vérification des autorisations en lecture seule

Autorisations en lecture seule : elles accordent un accès en lecture seule aux applications CADT et aux ressources Alibaba Cloud. Par exemple, un utilisateur disposant de ces autorisations peut consulter les applications et les architectures dans CADT, ainsi que vérifier des informations telles que les adresses IP et les noms d'hôte des instances ECS ou les endpoints de bases de données RDS. Ces autorisations conviennent aux tâches quotidiennes de développement et de test.

1. À des fins de test, utilisez un compte Alibaba Cloud pour déployer une application simple nommée CADT-Test, composée d'une instance Elastic Compute Service (ECS) et d'une adresse IP élastique (EIP), via CADT. L'application CADT-Test affiche l'état Deployed successfully. Son architecture comprend une adresse IP élastique (EIP), un Virtual Private Cloud (VPC) avec le bloc CIDR 192.168.0.0/16, un vSwitch avec le bloc CIDR 192.168.0.0/24, un groupe de sécurité et une instance ECS (2 vCPU, 4 GiB). La région de déploiement est Chine (Pékin).

2. Attachez la stratégie cadt-read-only. Dans la console RAM, accédez à la page Identities > Users, cochez la case située à côté de cadt-user, puis cliquez sur Add Permissions. Dans le panneau Add Permissions, définissez Authorization Scope sur Alibaba Cloud Account. Sous l'onglet Custom Policy, sélectionnez la stratégie cadt-read-only, puis cliquez sur OK.

3. Connectez-vous en tant que cadt-user pour vérifier les autorisations. Dans la console RAM, accédez à la page Overview. Dans la section Basic Information, repérez l'URL de connexion utilisateur, qui se présente sous la forme https://signin.aliyun.com/xxx.onaliyun.com/login.htm, et cliquez sur Copy Logon URL. Utilisez l'URL copiée pour vous connecter à la console Alibaba Cloud en tant qu'utilisateur cadt-user. Une fois connecté, cliquez sur l'avatar de l'utilisateur dans le coin supérieur droit pour confirmer que votre identité actuelle est bien l'utilisateur RAM cadt-user (adresse e-mail de connexion : cadt-user@xxx.onaliyun.com).

4. Sur la page My Applications de la console CADT, vous pouvez voir l'application CADT-Test ainsi que toutes les autres applications créées par le compte Alibaba Cloud. Dans la barre de navigation supérieure, sélectionnez Applications > My Applications. Dans la liste des applications, vous verrez l'application CADT-Test déployée par le compte Alibaba Cloud avec l'état « Deployed successfully ».

5. Consultez les détails d'une ressource, telle que l'instance ECS. Ouvrez l'application pour afficher l'architecture déployée. Cliquez sur l'instance ECS sur le canevas pour afficher ses informations. Cliquez sur le bouton Go to Console en bas pour ouvrir la console de la ressource cloud correspondante. Dans les détails de l'application, vous pouvez consulter les informations relatives à l'instance ECS déployée. L'état de l'instance est Running, la région est Chine (Pékin) et la zone de disponibilité est Pékin Zone K.

6. Vous pouvez créer de nouvelles applications, concevoir des architectures et configurer des paramètres, mais vous ne pouvez pas enregistrer ni déployer d'applications. Le panneau ECS Details affiche des configurations telles que le type d'instance ecs.c6.large (2c 4g), la méthode de facturation pay-as-you-go et la zone de disponibilité Beijing Zone K. Lorsque vous cliquez sur le bouton Save dans le coin supérieur droit, un message apparaît en haut de la page, indiquant que vous ne disposez pas des autorisations suffisantes.

Vérification des autorisations d'importation

Autorisations d'importation : elles permettent aux utilisateurs de découvrir des ressources sur Alibaba Cloud, de concevoir des architectures et de créer des applications. Dans CADT, un utilisateur disposant de ces autorisations peut créer des applications, configurer des ressources, importer des ressources existantes, effectuer une vérification des ressources (Resource Verification), consulter la liste de prix (Price List) et afficher des rapports. Toutefois, l'utilisateur ne peut pas déployer de ressources.

1. À l'aide de votre compte Alibaba Cloud, supprimez la stratégie en lecture seule de l'utilisateur RAM cadt-user et attachez la stratégie cadt-import. Sur la page de détails de l'utilisateur cadt-user, accédez à l'onglet Permissions. Sous Personal Permissions, confirmez que la stratégie personnalisée cadt-import est attachée et que l'étendue d'autorisation est définie sur All Resources.

2. Vérifiez les autorisations dans CADT :

   1. Utilisez Resource Discovery : dans la barre de navigation supérieure de la console CADT, cliquez sur Resources et sélectionnez Resource Discovery. La page Resource Discovery inclut une boîte de dialogue Select Resources to Discover, qui permet de filtrer par la case à cocher Untagged Resources, les clés de tag, les valeurs de tag et les noms de groupes de ressources. Elle propose les vues By Network et By Type, et comprend les onglets Overview, Global Resources, Regional Resources, VPC Resources et vSwitch Resources. Le tableau affiche les types de ressources, les noms de ressources, les ID de ressources, les tags et les objets associés. En bas, vous pouvez cliquer sur les boutons Export Report et Generate Architecture Diagram.

   2. Créez des applications, configurez des paramètres et enregistrez des applications : dans l'interface de conception d'architecture de CADT, vous pouvez afficher et modifier les ressources de l'architecture. Le panneau Elastic Compute Service (ECS) Details sur la droite vous permet de configurer des paramètres tels que la méthode de facturation, la zone de disponibilité et le type d'instance. Après modification, l'onglet en haut affiche l'état Modified. Une fois les modifications enregistrées, un message Saved successfully apparaît dans le coin supérieur droit.

   3. Effectuez une vérification des ressources (Resource Verification) : dans la boîte de dialogue Resource Verification, le résultat de la vérification pour les cinq ressources cloud (vswitch, China (Beijing), security_group, eip et ecs) est Succeeded, avec la remarque « Verification passed ». L'état en bas indique Verification passed. Vous pouvez cliquer sur Next: Price List pour continuer.

   4. Consultez les prix et affichez les rapports : une fois la vérification des ressources réussie, la boîte de dialogue Price List affiche l'état Pricing succeeded et répertorie les coûts pay-as-you-go pour des ressources telles que ECS et EIP. Vous pouvez cliquer sur le bouton View Report pour voir le rapport complet.

   5. Vous ne pouvez pas déployer de ressources : la page Confirm Order affiche la liste des ressources (EIP et ECS en mode pay-as-you-go) avec l'état Pricing succeeded. Un message d'erreur d'autorisation rouge apparaît dans le coin supérieur droit : « 4001: You are not authorized to perform this operation. Please contact the account owner or administrator to grant the required permissions. ». Vous pouvez cliquer sur le lien Add related permissions pour demander une autorisation. Vous pouvez cliquer sur le bouton Next: Pay and Create en bas pour passer à l'étape suivante.

   6. Importez des ressources existantes : dans le panneau Virtual Private Cloud (VPC) Details de CADT, définissez Billing Method sur Import Existing. Dans la liste déroulante Instance Name, sélectionnez une instance VPC existante. L'ID de l'instance est partiellement masqué. Le bloc CIDR s'affiche sous la forme 192.168.0.0/16. Le commutateur Deploy Resource est visible en haut du panneau.

Vérification des autorisations de gestion

Autorisations de gestion : elles incluent toutes les autorisations d'importation, plus l'autorisation de déployer des ressources. Afin de prévenir les opérations accidentelles et de réduire les risques liés aux ressources, cette stratégie n'accorde pas l'autorisation d'utiliser la fonctionnalité Release All Resources. Toutefois, pour les opérations de maintenance courantes, vous pouvez supprimer des ressources individuellement depuis l'architecture.

1. À l'aide de votre compte Alibaba Cloud, supprimez les autres stratégies de l'utilisateur RAM cadt-user et attachez la stratégie cadt-deploy. Sous l'onglet Permissions de l'utilisateur RAM cadt-user, confirmez que la stratégie personnalisée cadt-deploy est attachée et que l'étendue d'autorisation est définie sur All Resources.

2. En plus de toutes les autorisations d'importation, vous pouvez déployer des ressources. Après avoir lancé le déploiement d'une application, une boîte de dialogue indique que la commande a été passée et que le déploiement des ressources est en cours. Attendez que le déploiement soit terminé. Une fois le déploiement effectué avec l'autorisation cadt-deploy terminé, la page affiche un message Deployed successfully. Toutes les ressources de l'architecture, telles que l'EIP, le VPC (192.168.0.0/16), le vSwitch (192.168.0.0/24), le groupe de sécurité et l'instance ECS (8 vCPU, 16 GiB), affichent un état déployé.

3. Vous ne pouvez pas libérer toutes les ressources en une seule fois. Cliquez sur le bouton Release All Resources dans la barre d'outils inférieure, puis sur OK dans la boîte de dialogue de confirmation. Un message d'erreur apparaît dans le coin supérieur droit : « 4001: You are not authorized to perform this operation. Please contact the account owner or administrator to grant the required permissions. », indiquant que vous ne disposez pas de cette autorisation.

4. Supprimez des ressources individuelles de l'architecture.

   Cliquez avec le bouton droit sur une ressource cible, telle que l'instance ecs, et sélectionnez Delete dans le menu contextuel pour supprimer les ressources déployées une par une. Une icône orange × apparaît sur l'instance ecs, la marquant pour suppression. Après avoir marqué la ressource pour suppression, cliquez sur Save, puis sur Deploy Application pour libérer la ressource. Une fois l'instance ECS supprimée, il ne reste dans l'architecture que l'eip, le vpc [192.168.0.0/16], le vswitch [192.168.0.0/24] et un security_group vide. La connexion entre l'eip et le vpc est supprimée, ce qui confirme que la vérification des autorisations a réussi.