Elastic Container Instance:Utiliser les tags pour authentifier un utilisateur RAM

Étape 1 : Créer une politique personnalisée et l'attacher à l'utilisateur RAM

1. Connectez-vous à la console RAM avec votre compte Alibaba Cloud.

2. Dans le volet de navigation de gauche, sélectionnez Permissions > Policies.

3. Sur la page Policies, cliquez sur Create Policy.

4. Cliquez sur l'onglet Import Policy. Dans la boîte de dialogue, sélectionnez System Policy dans la liste déroulante Policy Template, recherchez AliyunECIFullAccess dans la zone Filter templates, sélectionnez la politique, puis cliquez sur Import. AliyunECIFullAccess est la politique par défaut pour ECI. Elle accorde les autorisations nécessaires pour exploiter les ressources ECI, interroger les dépendances telles que les groupes de sécurité et les VPC, et créer le rôle lié au service ECI.

5. Cliquez sur l'onglet JSON Editor et remplacez le document de politique par le contenu suivant. La politique associe chaque exigence à une clé de condition spécifique :

   • acs:RequestTag vérifie le tag envoyé dans la requête (utilisé pour les opérations de création et de description).

   • acs:ResourceTag vérifie le tag déjà présent sur la ressource cible (utilisé pour les opérations d'exploitation).

   Chaque instruction inclut Effect , Action , Resource , et éventuellement Condition . Pour plus d'informations, consultez Structure et syntaxe des politiques et Éléments de politique .

   Exigence	Action	Clé de condition	Valeur de condition
   Création avec tag	eci:Create*	acs:RequestTag/env	test
   Exploitation des ressources taguées	eci:*	acs:ResourceTag/env	test
   Affichage des ressources taguées	eci:Describe*	acs:RequestTag/env	test

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "eci:Create*",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "acs:RequestTag/env": "test"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": "eci:*",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "acs:ResourceTag/env": "test"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": "eci:Describe*",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "acs:RequestTag/env": "test"
           }
         }
       },
       {
         "Action": ["ecs:DescribeSecurityGroups"],
         "Resource": "*",
         "Effect": "Allow"
       },
       {
         "Action": [
           "vpc:DescribeVSwitches",
           "vpc:DescribeVpcs",
           "vpc:DescribeEipAddresses"
         ],
         "Resource": "*",
         "Effect": "Allow"
       },
       {
         "Action": "ram:CreateServiceLinkedRole",
         "Resource": "*",
         "Effect": "Allow",
         "Condition": {
           "StringEquals": {
             "ram:ServiceName": [
               "eci.aliyuncs.com",
               "vnode.eci.aliyuncs.com"
             ]
           }
         }
       }
     ]
   }

6. Cliquez sur Next to edit policy information, saisissez un nom pour la politique, puis cliquez sur OK.

7. Attachez la politique à l'utilisateur RAM :

   1. Dans le volet de navigation de gauche, sélectionnez Identities > Users.

   2. Si vous ne disposez pas encore d'utilisateur RAM, créez-en un. Pour plus d'informations, consultez Créer un utilisateur RAM.

   3. Attachez la politique personnalisée à l'utilisateur RAM. Pour plus d'informations, consultez Gérer les autorisations des utilisateurs RAM.

   La politique ci-dessus couvre l'accès via API. Si l'utilisateur RAM a également besoin d'un accès à la console, attachez des politiques supplémentaires. Pour plus d'informations, consultez Accorder des autorisations aux utilisateurs RAM .

Étape 2 : Vérifier la politique

Connectez-vous à la console OpenAPI Explorer en tant qu'utilisateur RAM et testez chaque opération :