Tous les produits
Search

Ce produit

    Elastic Container Instance:Utilisez des groupes de ressources pour contrôler les permissions d'un utilisateur RAM

    Centre de documentation

    Elastic Container Instance:Utilisez des groupes de ressources pour contrôler les permissions d'un utilisateur RAM

    Dernière mise à jour :Aug 11, 2026

    Les groupes de ressources vous permettent d'attribuer à différents utilisateurs RAM un contrôle administratif sur des ensembles distincts de ressources ECI. Par exemple, une équipe peut accéder aux instances de production tandis qu'une autre gère uniquement l'environnement de test. Ce guide vous accompagne dans la configuration.

    Prérequis

    Avant de commencer, assurez-vous de disposer des éléments suivants :

    • Un compte Alibaba Cloud avec le service Resource Access Management (RAM) activé

    • Les permissions nécessaires pour créer des groupes de ressources et des utilisateurs RAM

    Fonctionnement

    Chaque ressource Elastic Container Instance — instances de conteneur élastiques et caches d'images — appartient à exactement un groupe de ressources. Lorsque vous accordez à un utilisateur RAM des permissions limitées à un groupe de ressources spécifique, cet utilisateur ne peut consulter et gérer que les ressources contenues dans ce groupe.

    Comportements clés :

    • Un groupe de ressources peut s'étendre sur plusieurs régions. Par exemple, un seul groupe peut contenir des instances provenant de Chine (Pékin) et de Chine (Hangzhou).

    • Les ressources situées dans différents groupes de ressources au sein d'une même région peuvent interagir. Une instance du groupe de ressources A peut rejoindre un VPC du groupe de ressources B si tous deux se trouvent dans la même région.

    • Les groupes de ressources héritent des permissions globales d'un utilisateur RAM. Si un utilisateur RAM dispose d'un accès à l'échelle du compte, tous les groupes de ressources du compte lui sont visibles.

    Pour déplacer une ressource ECI existante vers un autre groupe de ressources, accédez à la page Resource Groups dans la console RAM. Pour plus de détails, consultez la rubrique Transférer des ressources entre des groupes de ressources.

    Configurer les permissions des groupes de ressources

    Cette section s'appuie sur un scénario courant : séparer les ressources ECI de production et de test afin que l'utilisateur RAM A gère uniquement les instances de production et l'utilisateur RAM B uniquement les instances de test.

    À l'issue de ces étapes, vous disposerez des éléments suivants :

    • Deux groupes de ressources, l'un dédié à la production et l'autre aux tests

    • Deux utilisateurs RAM, chacun disposant des permissions AliyunECIFullAccess limitées à son groupe de ressources respectif

    Remarque : AliyunECIFullAccess est une politique système fournie par RAM qui accorde toutes les permissions pour les opérations ECI.

    Étape 1 : Créez deux groupes de ressources

    Créez un groupe de ressources pour l'environnement de production et un autre pour l'environnement de test.

    Pour plus de détails, consultez la rubrique Créer un groupe de ressources.

    Étape 2 : Créez deux utilisateurs RAM

    Créez l'utilisateur RAM A et l'utilisateur RAM B.

    Pour plus de détails, consultez la rubrique Créer un utilisateur RAM.

    Étape 3 : Accordez à chaque utilisateur RAM l'accès à un groupe de ressources

    Définissez l'utilisateur RAM A comme administrateur du groupe de ressources de production et l'utilisateur RAM B comme administrateur du groupe de ressources de test. Lors de l'attribution des permissions, sélectionnez la politique AliyunECIFullAccess.

    Pour plus de détails, consultez la rubrique Ajouter une autorisation RAM.

    Étape 4 : Créez une instance de conteneur élastique dans le groupe de ressources cible

    Assignez chaque instance à son groupe de ressources lors de la création. Si vous ignorez cette étape, l'instance sera ajoutée au groupe de ressources par défaut.

    • Console ECI : Sur la page de création d'instance, accédez à l'étape Other Settings (Optional) et sélectionnez le groupe de ressources.

    • API : Appelez CreateContainerGroup et transmettez le paramètre ResourceGroupId.

    Vérifiez les résultats

    Après la configuration, chaque utilisateur RAM ne peut consulter et exploiter que les ressources ECI présentes dans son groupe de ressources assigné. Le tableau suivant décrit le fonctionnement de l'authentification par groupe de ressources pour chaque opération API.

    Opération API **Spécifier ResourceGroupId obligatoire ?** Comportement d'authentification
    CreateContainerGroup Oui (sauf si l'utilisateur a accès au groupe de ressources par défaut) L'authentification échoue si ResourceGroupId est omis ou incorrect. Si l'utilisateur dispose des permissions sur le groupe de ressources par défaut, l'instance y est automatiquement ajoutée sans spécification d'ID.
    DescribeContainerGroups Oui L'authentification échoue si ResourceGroupId est omis ou incorrect. Même avec un ID de groupe de ressources valide, les instances n'appartenant pas à ce groupe ne sont pas renvoyées : l'ID de l'instance doit correspondre à l'ID du groupe de ressources.
    DescribeContainerLog Non Le système détermine automatiquement le groupe de ressources à partir de l'instance et authentifie la requête.
    DeleteContainerGroup Non Le système détermine automatiquement le groupe de ressources à partir de l'instance et authentifie la requête.

    Étapes suivantes