Cloud Backup:Créer un utilisateur RAM et l'autoriser à accéder à Cloud Backup

Contexte

Dans la pratique, vous devrez peut-être effectuer des opérations de maintenance sur Cloud Backup ou accéder aux ressources Cloud Backup via un utilisateur RAM. Dans ces situations, créez un utilisateur RAM et accordez-lui les autorisations d'accès ou de gestion des ressources Cloud Backup. Pour garantir la sécurité des données, respectez le principe du moindre privilège (PoLP) lors de l'attribution des droits Cloud Backup à l'utilisateur RAM. Pour plus d'informations sur les utilisateurs RAM, consultez la section Présentation.

Étape 1 : Créer un utilisateur RAM

Pour gérer les autorisations des utilisateurs via RAM, créez des utilisateurs RAM, puis attribuez-leur des autorisations spécifiques.

Procédez comme suit pour créer un utilisateur RAM :

Étape 2 : Accorder des autorisations à l'utilisateur RAM

Par défaut, un nouvel utilisateur RAM ne dispose d'aucune autorisation. Avant d'utiliser cet utilisateur pour effectuer des opérations dans la console Cloud Backup ou appeler des API, attribuez-lui les autorisations requises.

Vous pouvez également attacher des stratégies personnalisées à l'utilisateur RAM depuis la console RAM pour mettre en place un contrôle d'accès granulaire. Pour plus d'informations, consultez la section Créer une stratégie personnalisée.

Dans cet exemple, la stratégie AliyunHBRReadOnlyAccess est attachée à un utilisateur RAM.

3. Dans le panneau Grant Permission, recherchez et sélectionnez AliyunHBRReadOnlyAccess dans la section Policy. La stratégie s'ajoute à la section Selected Policy située à droite.

   Remarque

   Dans la section Selected Policy située à droite, cliquez sur la croix (×) à côté d'une stratégie pour la supprimer.

4. Vérifiez le résultat de l'autorisation, puis cliquez sur Grant permissions.

Étape 3 : Utiliser l'utilisateur RAM pour effectuer des opérations de sauvegarde

Connectez-vous à la console Cloud Backup en tant qu'utilisateur RAM et effectuez les opérations de sauvegarde et de restauration.

1. Connectez-vous à la console Cloud Backup.

2. Dans le volet de navigation de gauche, sélectionnez les différentes fonctionnalités de sauvegarde et effectuez les opérations de sauvegarde et de restauration.

   Lors de la première sauvegarde d'une ressource, Cloud Backup crée automatiquement un rôle lié au service pour obtenir les autorisations d'accès à cette ressource. Suivez les étapes de l'assistant pour créer ce rôle. Pour plus d'informations, consultez la section Rôles liés au service pour Cloud Backup.

   • Sauvegarder des fichiers ECS

   • Sauvegarder des fichiers depuis un système de fichiers File Storage NAS

   • Sauvegarder des fichiers OSS

   • Sauvegarder des tables de données Tablestore

Références supplémentaires sur les stratégies

Vous pouvez accorder des autorisations sur un coffre de sauvegarde à un utilisateur RAM. Par exemple, vous pouvez autoriser l'utilisateur RAM uniquement à sauvegarder ou restaurer des données via ce coffre.

Accordez ces autorisations à l'aide des exemples de stratégies suivants. Pour créer une stratégie personnalisée, copiez l'un des scripts et collez-le dans la console RAM. Attachez ensuite cette stratégie personnalisée à l'utilisateur RAM. Pour plus d'informations, consultez la section Isoler les autorisations de sauvegarde et de récupération.

• Pour empêcher un utilisateur RAM de restaurer des données depuis un coffre de sauvegarde, utilisez l'exemple de stratégie suivant :

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Deny",
              "Action": [
                  "hbr:CreateRestore",
                  "hbr:CreateRestoreJob",
                  "hbr:CreateHanaRestore",
                  "hbr:CreateUniRestorePlan",
                  "hbr:CreateSqlServerRestore"
              ],
              "Resource": [
                  "acs:hbr:*:1178******531:vault/v-000******blx06",
                  "acs:hbr:*:1178******531:vault/v-000******blx06/client/*"
              ]
          }
      ]
  }

• Pour empêcher un utilisateur RAM de sauvegarder des données dans un coffre de sauvegarde, utilisez l'exemple de stratégie suivant :

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Deny",
              "Action": [
                  "hbr:CreateUniBackupPlan",
                  "hbr:UpdateUniBackupPlan",
                  "hbr:DeleteUniBackupPlan",
                  "hbr:CreateHanaInstance",
                  "hbr:UpdateHanaInstance",
                  "hbr:DeleteHanaInstance",
                  "hbr:CreateHanaBackupPlan",
                  "hbr:UpdateHanaBackupPlan",
                  "hbr:DeleteHanaBackupPlan",
                  "hbr:CreateClient",
                  "hbr:CreateClients",
                  "hbr:UpdateClient",
                  "hbr:UpdateClientSettings",
                  "hbr:UpdateClientAlertConfig",
                  "hbr:DeleteClient",
                  "hbr:DeleteClients",
                  "hbr:CreateJob",
                  "hbr:UpdateJob",
                  "hbr:CreateBackupPlan",
                  "hbr:UpdateBackupPlan",
                  "hbr:ExecuteBackupPlan",
                  "hbr:DeleteBackupPlan",
                  "hbr:CreateBackupJob",
                  "hbr:CreatePlan",
                  "hbr:UpdatePlan",
                  "hbr:CreateTrialBackupPlan",
                  "hbr:ConvertToPostPaidInstance",
                  "hbr:KeepAfterTrialExpiration"
              ],
              "Resource": [
                  "acs:hbr:*:1178******9531:vault/v-000******blx06",
                  "acs:hbr:*:1178******9531:vault/v-000******blx06/client/*"
              ]
          }
      ]
  }

Étapes suivantes

Se connecter à la console Alibaba Cloud en tant qu'utilisateur RAM