Les configurations d'accès définissent les permissions et les paramètres de session dont bénéficient les utilisateurs CloudSSO lors de l'accès aux comptes d'un répertoire de ressources.
Éléments
Chaque configuration d'accès comprend :
Durée de session : période pendant laquelle la session d'un utilisateur CloudSSO reste active lors de l'accès à un compte via cette configuration d'accès.
État de relais : page initiale affichée lorsqu'un utilisateur CloudSSO accède à un compte au moyen de cette configuration d'accès.
-
Permissions : ensemble des autorisations accordées à un utilisateur CloudSSO sur un compte du répertoire de ressources.
Politique système : réutilise les politiques système existantes de Resource Access Management (RAM).
Politique inline : politiques personnalisées rédigées selon la syntaxe des politiques RAM, applicables uniquement à cette configuration d'accès.
Premier provisionnement
Pour attribuer des permissions d'accès sur un compte à un utilisateur ou à un groupe, vous spécifiez une configuration d'accès. Si celle-ci n'a jamais été provisionnée auparavant, CloudSSO crée automatiquement les ressources suivantes :
Un rôle RAM nommé
AliyunReservedSSO-<Access configuration name>est créé. Par exemple, le provisionnement de TestAccessConfiguration génère un rôle RAM appeléAliyunReservedSSO-TestAccessConfiguration.Si une politique inline existe, une politique personnalisée RAM nommée
AliyunReservedSSO-<Access configuration name>-InlinePolicyest créée. Ainsi, une politique inline dans TestAccessConfiguration entraîne la création deAliyunReservedSSO-TestAccessConfiguration-InlinePolicy.Toutes les politiques système ainsi que les politiques personnalisées dérivées des politiques inline sont attachées au rôle RAM.
Lorsqu'aucune permission d'accès au compte n'est encore attribuée à un utilisateur CloudSSO, un fournisseur d'identité (IdP) nommé
AliyunReservedSSO-<ID of the CloudSSO directory>est créé afin d'activer le SSO basé sur les rôles. Par exemple, si l'ID du répertoire estd-x0h0w370****, un IdP intituléAliyunReservedSSO-d-x0h0w370****est mis en place.
Vous pouvez consulter ces rôles RAM, politiques personnalisées et IdP dans la console RAM, mais il est impossible de les modifier ou de les supprimer.
Attribuer des permissions d'accès sur les comptes d'un répertoire de ressources.
Re-provisionner une configuration d'accès
Si vous apportez l'une des modifications suivantes à une configuration d'accès déjà provisionnée, vous devez la re-provisionner manuellement. Ces changements ne s'appliquent pas automatiquement au compte concerné.
Ajout ou suppression d'une politique système.
Création, modification ou suppression d'une politique inline.
La modification de la durée de session ou de l'état de relais ne nécessite aucun re-provisionnement de la configuration d'accès.
Dé-provisionner une configuration d'accès
Le dé-provisionnement d'une configuration d'accès depuis un compte du répertoire de ressources s'effectue dans les cas suivants :
Lorsque vous retirez les permissions d'accès de la dernière identité CloudSSO utilisant une configuration donnée, profitez-en pour la dé-provisionner simultanément.
Depuis la liste des configurations d'accès provisionnées pour un compte, supprimez celles qui ne sont plus nécessaires.
À partir de la liste des comptes où une configuration d'accès est provisionnée, retirez-la des comptes qui n'en ont plus besoin.