Cloud Enterprise Network:Use resource groups for fine-grained access control

Fonctionnement

Les groupes de ressources organisent vos ressources par projet ou environnement. Une fois les ressources regroupées, associez une politique RAM à une identité (utilisateur RAM, groupe d'utilisateurs ou rôle) pour limiter ses permissions exclusivement à ce groupe. Pour plus d'informations, consultez la section Regroupement des ressources et autorisation.

Cette approche offre deux avantages majeurs :

• Contrôle d'accès granulaire : Au lieu d'accorder des permissions à l'échelle du compte, limitez l'accès d'une identité aux seules ressources d'un groupe spécifique. Vous isolez ainsi les charges de travail propres à un projet et réduisez le risque d'accès non intentionnel.

• Gestion simplifiée : Lorsque vous ajoutez de nouvelles ressources à un groupe de ressources, les identités RAM dont les permissions sont limitées à ce groupe y accèdent automatiquement. Inutile de mettre à jour les politiques RAM à chaque création de ressource.

Accorder des permissions au niveau du groupe de ressources à un utilisateur RAM

Cette section explique comment accorder à un utilisateur RAM l'autorisation d'accéder uniquement aux ressources Cloud Enterprise Network (CEN) d'un groupe de ressources spécifique.

Ressources prises en charge

Les ressources suivantes de Cloud Enterprise Network (CEN) prennent en charge l'autorisation au niveau du groupe de ressources :

Actions non prises en charge

Les actions suivantes de Cloud Enterprise Network (CEN) ne prennent pas en charge l'autorisation au niveau du groupe de ressources :

Pour ces actions, créez une politique personnalisée avec l'étendue définie sur Account.

Personnalisez les exemples de politiques suivants selon vos besoins :

• Autoriser l'accès en lecture seule

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cen:CheckTransitRouterService",
          "cen:DescribeFlowLogs",
          "cen:DescribeGrantRulesToResource",
          "cen:DescribeRouteConflict",
          "cen:DescribeRouteMaps",
          "cen:DescribeTagKeys",
          "cen:DescribeTags",
          "cen:DescribeTransitRouterPolicyBasedRoutes",
          "cen:DescribeTransitRouterPolicyTableAssociations",
          "cen:ListCenCrossBorderPackageForCompliance",
          "cen:ListCenCrossBorderPackageForComplianceCheck",
          "cen:ListCenCrossBorderPackageUsageDetail",
          "cen:ListCrossBorderCdtUsageDetailForCenInstance",
          "cen:ListDataTransferBandwidthLimit",
          "cen:ListTransitRouterAvailableResource",
          "cen:ListTransitRouterConnectPeers",
          "cen:ListVbrRelatedTransitRouterAttachments",
          "cen:QueryTransitRouterAttachmentPrice"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Autoriser l'accès complet

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cen:CheckTransitRouterService",
          "cen:CreateFlowlog",
          "cen:CreateTransitRouterConnectPeer",
          "cen:CreateTransitRouterPolicyBasedRoute",
          "cen:DeleteRouteMapRule",
          "cen:DeleteTransitRouterConnectAttachment",
          "cen:DeleteTransitRouterConnectPeer",
          "cen:DeleteTransitRouterPolicyBasedRoute",
          "cen:DeleteTransitRouterPolicyTable",
          "cen:DescribeFlowLogs",
          "cen:DescribeGrantRulesToResource",
          "cen:DescribeRouteConflict",
          "cen:DescribeRouteMaps",
          "cen:DescribeTagKeys",
          "cen:DescribeTags",
          "cen:DescribeTransitRouterPolicyBasedRoutes",
          "cen:DescribeTransitRouterPolicyTableAssociations",
          "cen:DisableCenCrossBorderPackage",
          "cen:DisassociateTransitRouterPolicyTable",
          "cen:EnableCenCrossBorderPackage",
          "cen:GrantInstanceToTransitRouter",
          "cen:ListCenCrossBorderPackageForCompliance",
          "cen:ListCenCrossBorderPackageForComplianceCheck",
          "cen:ListCenCrossBorderPackageUsageDetail",
          "cen:ListCrossBorderCdtUsageDetailForCenInstance",
          "cen:ListDataTransferBandwidthLimit",
          "cen:ListTransitRouterAvailableResource",
          "cen:ListTransitRouterConnectPeers",
          "cen:ListVbrRelatedTransitRouterAttachments",
          "cen:ModifyCenUserQuota",
          "cen:ModifyGrantInstanceToTransitRouter",
          "cen:OpenTransitRouterService",
          "cen:QueryTransitRouterAttachmentPrice",
          "cen:RemoveVbrFromCenBondVbr",
          "cen:RevokeInstanceFromTransitRouter",
          "cen:UpdateRouteMapRule",
          "cen:UpdateTransitRouterCcnAttachmentTransitRegion",
          "cen:UpdateTransitRouterConnectAttachmentAttribute",
          "cen:UpdateTransitRouterPolicyBasedRoute",
          "cen:UpdateTransitRouterPolicyTable",
          "cen:VerifyCenCrossBorderPackageForCompliance"
        ],
        "Resource": "*"
      }
    ]
  }
  

FAQ