Elastic Compute Service:Utiliser les groupes de ressources pour la gestion horizontale des autorisations

Risques de sécurité

Par défaut, un utilisateur RAM disposant d'autorisations de gestion ECS telles que AliyunECSFullAccess peut agir sur toutes les instances ECS et les ressources connexes du compte. Cette autorisation globale présente des risques de sécurité à mesure que les équipes se développent :

• Abus d'autorisations et erreurs opérationnelles : Un administrateur du département A peut afficher, modifier ou supprimer des serveurs de production appartenant au département B, que ce soit intentionnellement ou par accident.

• Violation du principe du moindre privilège : L'utilisateur RAM détient des autorisations bien supérieures aux exigences de son poste, ce qui enfreint le principe du moindre privilège. Ce principe fondamental de la défense en profondeur limite chaque utilisateur, programme ou processus au strict minimum d'accès nécessaire.

• Difficultés d'audit et de conformité : Lorsque toutes les opérations sont mélangées, il devient difficile de déterminer quel département a modifié quelle ressource, ce qui complique la mise en conformité.

Bonnes pratiques

Utilisez des groupes de ressources et des politiques RAM basées sur l'identité pour établir des frontières de gestion logiques au sein de votre compte Alibaba Cloud. Le scénario suivant utilise deux départements, DepartmentA et DepartmentB, pour illustrer l'isolation horizontale des autorisations.

Scénario : Créez des administrateurs ECS distincts pour le département A et le département B, chacun étant limité aux ressources de son propre département.

1. Créer des groupes de ressources

   1. Connectez-vous avec un compte Alibaba Cloud ou une identité RAM disposant des autorisations de gestion des groupes de ressources.

   2. Accédez à la console Resource Group. Cliquez sur Create Resource Group, renseignez les informations requises, puis cliquez sur OK.

      • Resource Group Identifier : Saisissez DepartmentA.

      • Resource Group Name : Saisissez Department A Resource Group.

   3. Répétez l'opération pour créer un groupe de ressources avec l'ID DepartmentB.

2. Créer des utilisateurs RAM

   1. Accédez à la console RAM. Dans le volet de navigation de gauche, choisissez Identities > User.

   2. Cliquez sur Create User et renseignez les informations comme indiqué.

      1. Logon Name/Display Name : Saisissez AdminA.

      2. Access Mode : Sélectionnez Console Access et configurez la politique de mot de passe.

   3. Cliquez sur OK et effectuez l'authentification de sécurité.

   4. Répétez l'opération pour créer l'utilisateur AdminB.

3. Accorder des autorisations aux groupes de ressources

   1. Revenez à la console Resource Group.

   2. Repérez le groupe de ressources DepartmentA et cliquez sur Manage Permission dans la colonne Actions.

   3. Cliquez sur Grant Permission.

      1. Resource Scope : Par défaut, la portée est définie sur le groupe de ressources actuel, DepartmentA.

      2. Principal : Sélectionnez RAM User puis sélectionnez AdminA.

      3. Policy : Recherchez ecs. Sélectionnez AliyunECSFullAccess et AliyunBSSFullAccess.

      4. Cliquez sur OK.

   4. Répétez l'opération pour accorder des autorisations à AdminB pour le groupe de ressources DepartmentB.

4. Vérifier l'isolation

   • Déconnectez-vous. Connectez-vous ensuite à la console Alibaba Cloud en tant que AdminA et AdminB séparément.

   • Après vous être connecté en tant qu'AdminA : Créez une instance personnalisée. Pour le groupe de ressources, sélectionnez Department A Resource Group.

     Accédez à la page Console ECS - Instances. Seules les instances ECS du groupe de ressources DepartmentA sont visibles.

   • Après vous être connecté en tant qu'AdminB : Vous observez un comportement similaire mais totalement isolé. Toutes les opérations sont limitées au groupe de ressources DepartmentB.