Accorder des autorisations à un utilisateur RAM

Cas d'utilisation

L'entreprise A souscrit à EventBridge. Ses employés doivent gérer des ressources telles que les règles d'événement et les bus d'événements, et leurs responsabilités respectives nécessitent des niveaux d'autorisation différents.

Ce scénario répond aux exigences suivantes :

Pour des raisons de sécurité, l'entreprise A crée un utilisateur RAM distinct pour chaque employé plutôt que de partager la paire AccessKey du compte Alibaba Cloud.
Les utilisateurs RAM ne sont pas facturés individuellement. Tous les coûts sont imputés au compte Alibaba Cloud de l'entreprise A.
L'entreprise A peut révoquer les autorisations d'un utilisateur RAM ou supprimer cet utilisateur à tout moment.

Le compte Alibaba Cloud peut accorder des autorisations granulaires aux employés, garantissant qu'ils n'accèdent qu'aux ressources nécessaires à leur poste.

Si vous n'avez pas encore créé d'utilisateur RAM, suivez la procédure décrite dans Opérations de base. Une fois l'utilisateur RAM créé, appliquez le principe du moindre privilège en n'accordant que les autorisations strictement nécessaires à ses tâches.

Console

La console RAM propose deux points d'entrée, tous deux prenant en charge l'autorisation unique et par lot :

Page Users : Le principal est automatiquement sélectionné en fonction des utilisateurs que vous choisissez. Cette option est idéale pour les workflows centrés sur l'utilisateur.
Page Grants : Vous sélectionnez manuellement les principaux et pouvez consulter l'ensemble des historiques d'autorisation de votre compte. Cette option convient mieux aux workflows centrés sur les autorisations.

Remarque

Conseil : Pour une gestion à grande échelle, ajoutez les utilisateurs RAM ayant des responsabilités identiques à un groupe d'utilisateurs, puis accordez les autorisations au groupe. Accédez à Identities > User Groups pour gérer les groupes.

Depuis la page Users

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, sélectionnez Identities > Users.
Sur la page Users, localisez l'utilisateur RAM cible et cliquez sur la colonne Actions > Attach Policy.

Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Attach Policy sous la liste des utilisateurs pour une autorisation par lot.

Dans le panneau Grant Permission, configurez les paramètres suivants :

Resource scope :
- Account level : Les autorisations s'appliquent à toutes les ressources de votre compte Alibaba Cloud.
- Resource group level : Les autorisations s'appliquent uniquement au sein du groupe de ressources spécifié. Après la connexion, l'utilisateur RAM doit basculer vers le groupe de ressources autorisé dans la barre de navigation supérieure.
  Remarque
  1. Le système marque les politiques système à haut risque (telles que AdministratorAccess et AliyunRAMFullAccess) avec un indicateur d'avertissement. Ces politiques accordent généralement un contrôle total sur toutes les ressources cloud ou une gestion complète de RAM. Accordez ces politiques avec prudence.
  2. Pour des exemples d'autorisation au niveau des groupes de ressources, consultez la rubrique Contrôler l'accès des utilisateurs RAM à des instances ECS spécifiques.
Principal :

Le principal est l'utilisateur RAM qui reçoit les autorisations. Depuis la page Users, le système sélectionne automatiquement l'utilisateur actuel. Depuis la page Grants, vous devez sélectionner l'utilisateur manuellement. La sélection multiple est prise en charge.

Permission policy :

System policy : Recherchez et sélectionnez. Filtrez par nom de produit (par exemple, ECS, OSS), niveau d'accès (par exemple, ReadOnly, FullAccess) ou nom complet de la politique. Par exemple, pour accorder des autorisations de gestion financière (dépenses et coûts), recherchez BSS pour trouver AliyunBSSFullAccess (accès complet à la facturation et à la gestion des coûts) ainsi que d'autres politiques liées aux finances.

Le tableau suivant répertorie les noms des politiques système pour les produits Alibaba Cloud couramment demandés, afin de vous aider à trouver rapidement la politique appropriée.

Produit

Nom de la politique système

Niveau d'accès

Gestion de la facturation et des coûts (finance)

AliyunBSSFullAccess

Accès complet

Cloud Monitor

AliyunCloudMonitorReadOnlyAccess

Lecture seule

China Gateway (Website Builder)

AliyunWebsiteBuildFullAccess

Accès complet

Alibaba Cloud DevOps

AliyunYunxiaoFullAccess

Accès complet

Model Studio (Bailian)

AliyunBailianFullAccess

Accès complet

Alibaba Cloud DNS

AliyunDNSFullAccess

Accès complet

SSL Certificates Service

AliyunYundunCertFullAccess

Accès complet

Cloud Phone

AliyunECDFullAccess

Accès complet

Support Center

AliyunSupportFullAccess

Accès complet

Resource Center

AliyunResourceCenterFullAccess

Accès complet

AgentBay

AliyunAgentBayFullAccess

Accès complet

Security Center

AliyunYundunSASFullAccess

Accès complet

Si vous ne trouvez pas la politique correspondant à votre produit cible, consultez la Référence des politiques systèmeAliyunACMFullAccess pour obtenir la liste complète, ou créez une politique personnalisée pour un contrôle d'accès granulaire.

Custom policy : Vous devez créer une politique personnalisée avant de pouvoir l'accorder.
Limite de pagination pour « Tout sélectionner » : La liste des politiques est paginée. L'option « Tout sélectionner » ne s'applique qu'à la page actuelle. Lorsque vous changez de page, les politiques précédemment sélectionnées restent dans la liste de sélection, mais celles de la nouvelle page ne sont pas automatiquement sélectionnées ; vous devez les sélectionner page par page.
Accorder rapidement des autorisations d'administrateur : Pour accorder des autorisations d'administrateur, recherchez AdministratorAccess dans la zone de recherche et sélectionnez-la directement, au lieu de sélectionner les politiques page par page. La sélection de cette politique déclenche un avertissement d'autorisation à haut risque.

(Facultatif) Description : Saisissez la raison de l'autorisation ou le scénario associé à des fins d'audit.
Cliquez sur Confirm.

Vérifiez le résultat de l'autorisation et cliquez sur Close.

Depuis la page Grants

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, sélectionnez Permissions > Grants.
Sur la page Grants, cliquez sur Grant Permission.
Dans le panneau Grant Permission, sélectionnez le principal et configurez les mêmes paramètres que décrits ci-dessus.
Vérifiez le résultat de l'autorisation et cliquez sur Close.

Remarque

Les utilisateurs RAM créés via la fonctionnalité Quick Start sur la page d'accueil de la console RAM reçoivent automatiquement la politique système correspondante en fonction du scénario sélectionné, sans nécessiter d'autorisation manuelle :

Super user : Reçoit automatiquement la politique PowerUserAccess. Cet utilisateur peut gérer les services cloud et les ressources, mais ne peut pas gérer les identités RAM et leurs autorisations, les annuaires de ressources ou les comptes de facturation.
Account administrator : Reçoit automatiquement la politique AdministratorAccess. Cet utilisateur peut gérer toutes les ressources Alibaba Cloud, y compris les identités et les autorisations RAM.

N'utilisez ces options que si des privilèges de super administrateur sont réellement nécessaires. Pour les opérations courantes, appliquez le principe du moindre privilège et n'accordez que les autorisations requises pour la tâche spécifique.

OpenAPI

Accorder une custom policy

Appelez CreatePolicy pour créer une custom policy. Pour la syntaxe des politiques, consultez les rubriques Éléments des politiques d'autorisation et Présentation des exemples de politiques.
Appelez AttachPolicyToUser pour accorder la politique au niveau du account level (définissez PolicyType sur Custom).

Vous pouvez également appeler AttachPolicy pour accorder la politique au niveau du resource group level.

Accorder une system policy

Appelez AttachPolicyToUser pour attacher la politique système à l'utilisateur RAM (définissez PolicyType sur System). Pour connaître les valeurs disponibles de PolicyName, consultez la rubrique Référence des politiques système.
Vous pouvez également appeler AttachPolicy pour accorder la politique au niveau du resource group level.

Informations complémentaires

Qu'est-ce que RAM ?

Étapes suivantes

Après avoir créé un utilisateur RAM, vous pouvez transmettre le nom de connexion et le mot de passe, ou la paire AccessKey, à l'utilisateur concerné. Ce dernier pourra alors utiliser ces identifiants pour se connecter à la console ou appeler des opérations API.

Se connecter à la console.
1. Ouvrez le dans un navigateur web.
2. Sur la page RAM User Logon, saisissez le nom de connexion de l'utilisateur RAM et cliquez sur Next. Ensuite, entrez le mot de passe et cliquez sur Login.
  
  Remarque
  Le nom de connexion d'un utilisateur RAM est au format <$username>@<$AccountAlias> ou <$username>@<$AccountAlias>.onaliyun.com. <$AccountAlias> correspond à l'alias du compte. Si aucun alias de compte n'est défini, l'ID de votre compte Alibaba Cloud est utilisé par défaut.
3. Dans la console Alibaba Cloud, cliquez sur un service auquel vous avez accès.
Utiliser la paire AccessKey de l'utilisateur RAM pour appeler des opérations API.

Incluez l'AccessKey ID et l'AccessKey Secret de l'utilisateur RAM dans votre code.