Grant permissions on elastic container instances to RAM users - Elastic Container Instance

Les utilisateurs RAM créés sous un compte Alibaba Cloud ne disposent d'aucune autorisation par défaut. Pour permettre à un utilisateur RAM de gérer les ressources Elastic Container Instance (ECI), associez une stratégie d'autorisation à cet utilisateur.

Prérequis

Avant de commencer, assurez-vous d'avoir :

Un utilisateur RAM. Consultez Créer un utilisateur RAM

Stratégies disponibles

Deux stratégies système couvrent les ressources ECI. Utilisez le tableau ci-dessous pour choisir celle qui convient.

Stratégie	Niveau d'accès	Autorisations incluses
AliyunECIReadOnlyAccess	Lecture seule	`eci:Describe`, `eci:List` — interroger les ressources ECI `ecs:DescribeSecurityGroups` — interroger les groupes de sécurité`vpc:DescribeVSwitches` — interroger les vSwitches `vpc:DescribeVpcs` — interroger les VPC
AliyunECIFullAccess	Gestion complète	`eci:*` — toutes les opérations ECI `ecs:DescribeSecurityGroups` — interroger les groupes de sécurité`vpc:DescribeVSwitches` — interroger les vSwitches `vpc:DescribeVpcs` — interroger les VPC `vpc:DescribeEipAddresses` — interroger les adresses IP élastiques (EIP)

Si l'utilisateur RAM doit travailler dans la console ECI, associez la stratégie AliyunECIFullAccess ainsi qu'une stratégie personnalisée accordant les autorisations supplémentaires suivantes :

Action	Objectif
`ram:ListRoles`	Interroger les rôles RAM des instances
`nas:DescribeFileSystems`	Interroger les systèmes de fichiers NAS (stockage en réseau)
`oss:ListBuckets`	Interroger les buckets Object Storage Service (OSS)
`vpc:DescribeCommonBandwidthPackages`	Interroger les plans de bande passante EIP
`cr:GetRepoList`, `cr:GetRepoTags`, `cr:GetImageManifest`, `cr:SearchRepo`	Interroger et rechercher des dépôts d'images

Accorder des autorisations

Étape 1 : Créer la stratégie personnalisée (accès console uniquement)

Ignorez cette étape si l'utilisateur RAM a seulement besoin d'un accès API.

Connectez-vous à la console RAM avec votre compte Alibaba Cloud.
Dans le volet de navigation de gauche, sélectionnez Permissions > Policies.
Cliquez sur Create Policy.

Cliquez sur l'onglet JSON, collez la stratégie suivante, puis cliquez sur OK.

{
    "Statement": [
        {
            "Action": "ram:ListRoles",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "nas:DescribeFileSystems",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "oss:ListBuckets",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "vpc:DescribeCommonBandwidthPackages",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "cr:GetRepoList",
                "cr:GetRepoTags",
                "cr:GetImageManifest",
                "cr:SearchRepo"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "1"
}

Saisissez un nom dans le champ Name et cliquez sur OK.

Étape 2 : Associer les stratégies à l'utilisateur RAM

Dans le volet de navigation de gauche, sélectionnez Identities > Users.
Recherchez l'utilisateur RAM et cliquez sur Add Permissions dans la colonne Actions.

Configurez les paramètres suivants.

Paramètre	Description
Resource Scope	Account : les autorisations s'appliquent au compte Alibaba Cloud actuel.ResourceGroup : les autorisations s'appliquent à un groupe de ressources spécifique.
Principal	L'utilisateur RAM auquel accorder des autorisations. Ce champ est prérempli selon votre sélection ; vous pouvez le modifier.
Policy	Sélectionnez en fonction du niveau d'accès requis :- Afficher uniquement les ressources ECI → AliyunECIReadOnlyAccess- Gérer les ressources ECI via API → AliyunECIFullAccess- Gérer les ressources ECI via la console ECI → AliyunECIFullAccess + la stratégie personnalisée de l'étape 1

Cliquez sur Grant permissions et suivez les instructions à l'écran.

Étapes suivantes

Pour gérer les autorisations ECI avec une granularité plus fine, utilisez des groupes de ressources ou des libellés afin de contrôler l'accès des utilisateurs RAM individuels :