Express Connect:Contrôle granulaire avec les groupes de ressources

Autorisation via les groupes de ressources

Les groupes de ressources vous permettent de regrouper et de gérer vos ressources au sein de votre compte Alibaba Cloud. Par exemple, vous pouvez créer un groupe de ressources par projet et y déplacer les ressources associées afin de centraliser leur gestion. Pour en savoir plus, consultez la page Présentation des groupes de ressources.

Une fois vos ressources groupées, vous pouvez attribuer des autorisations limitées à un groupe de ressources spécifique à différentes entités RAM, telles que des utilisateurs RAM, des groupes d'utilisateurs RAM ou des rôles RAM. Cela restreint chaque entité à la gestion exclusive des ressources contenues dans ce groupe. Pour plus de détails, reportez-vous à la documentation sur Regroupement des ressources et autorisation.

Cette approche offre les avantages suivants :

• Autorisations granulaires : chaque identité ne reçoit que les droits strictement nécessaires, ce qui isole la gestion des ressources entre différents projets au sein d'un même compte.

• Évolutivité : lors de l'ajout de nouvelles ressources, il suffit de les intégrer au groupe de ressources pertinent. L'identité RAM hérite automatiquement des autorisations appropriées sans nécessiter de configuration supplémentaire.

Accorder des autorisations au niveau du groupe de ressources à un utilisateur RAM

Cette section décrit la procédure pour accorder des autorisations à un RAM user sur les ressources Express Connect appartenant à un groupe de ressources spécifique.

Types de ressources compatibles avec les groupes de ressources

Express Connect prend en charge les types de ressources suivants au sein des groupes de ressources :

Opérations ne prenant pas en charge l'autorisation par groupe de ressources

Les actions Express Connect suivantes ne prennent pas en charge l'autorisation au niveau du groupe de ressources :

Pour les opérations ne prenant pas en charge l'autorisation par groupe de ressources, définir l'étendue de la ressource sur le resource group level n'a aucun effet. Pour accorder à un utilisateur RAM des autorisations pour ces opérations, créez une stratégie personnalisée et définissez l'étendue de la ressource sur le account level.

Voici deux exemples de stratégies d'autorisation personnalisées. Vous pouvez adapter le contenu de la stratégie selon vos besoins.

• Autorise toutes les opérations en lecture seule qui ne prennent pas en charge l'autorisation au niveau du groupe de ressources : l'élément Action répertorie toutes les opérations en lecture seule incompatibles avec cette fonctionnalité.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "expressconnectrouter:DescribeCarrierCloudLink",
          "expressconnectrouter:DescribeCarrierCloudLinks",
          "expressconnectrouter:DescribeLineProviders",
          "expressconnectrouter:DescribePartnerAccessPointRegions",
          "expressconnectrouter:DescribePartnerAccessPoints",
          "expressconnectrouter:DescribePartnerVendors",
          "expressconnectrouter:DescribeVpcRelatedAssociation",
          "expressconnectrouter:ListExpressConnectRouterSupportedRegion",
          "vpc:CheckVpnBgpEnabled",
          "vpc:DescribeAccessPoints",
          "vpc:DescribeBandwidthPackageMonitorData",
          "vpc:DescribeBandwidthPackagePublicIpMonitorData",
          "vpc:DescribeGlobalAccelerationInstances",
          "vpc:DescribeGrantRulesToCbn",
          "vpc:DescribeIPv6TranslatorAclListAttributes",
          "vpc:DescribeIPv6TranslatorAclLists",
          "vpc:DescribeIPv6TranslatorEntries",
          "vpc:DescribeInstances",
          "vpc:DescribeNetworkQuotas",
          "vpc:DescribePublicIpAddress",
          "vpc:DescribeRouterInterfacesForGlobal",
          "vpc:DescribeServerRelatedGlobalAccelerationInstances",
          "vpc:DescribeVPCs",
          "vpc:DescribeVpnGatewayAvailableZones",
          "vpc:DescribeVrouters",
          "vpc:DescribeZones",
          "vpc:GetBusinessAccessPointDetail",
          "vpc:GetFlowLogServiceStatus",
          "vpc:GetNatIpCidrAttribute",
          "vpc:GetObject",
          "vpc:GetPhysicalConnectionServiceStatus",
          "vpc:GetPublicIpAddressPoolServiceStatus",
          "vpc:GetTrafficMirrorServiceStatus",
          "vpc:GetVpcIpamServiceStatus",
          "vpc:GetVpnGatewayDiagnoseResult",
          "vpc:ListBusinessAccessPointPortUsage",
          "vpc:ListBusinessAccessPoints",
          "vpc:ListBusinessRegions",
          "vpc:ListGeographicSubRegions",
          "vpc:ListNatGatewayEcsMetric",
          "vpc:ListVpcCloudInstance",
          "vpc:ListVpcEndpointServicesByEndUser"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Autorise toutes les opérations qui ne prennent pas en charge l'autorisation au niveau du groupe de ressources : l'élément Action répertorie l'ensemble des opérations incompatibles avec cette fonctionnalité.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "expressconnectrouter:CreateCarrierCloudLink",
          "expressconnectrouter:DeleteCarrierCloudLink",
          "expressconnectrouter:DescribeCarrierCloudLink",
          "expressconnectrouter:DescribeCarrierCloudLinks",
          "expressconnectrouter:DescribeLineProviders",
          "expressconnectrouter:DescribePartnerAccessPointRegions",
          "expressconnectrouter:DescribePartnerAccessPoints",
          "expressconnectrouter:DescribePartnerVendors",
          "expressconnectrouter:DescribeVpcRelatedAssociation",
          "expressconnectrouter:ListExpressConnectRouterSupportedRegion",
          "expressconnectrouter:ModifyCarrierCloudLink",
          "vpc:AddBandwidthPackageIps",
          "vpc:AddGlobalAccelerationInstanceIp",
          "vpc:AddIPv6TranslatorAclListEntry",
          "vpc:AllocateVpcIpv6Cidr",
          "vpc:CancelExpressCloudConnection",
          "vpc:CheckVpnBgpEnabled",
          "vpc:ConvertBandwidthPackage",
          "vpc:CreaeNatGateway",
          "vpc:CreateBandwidthPackage",
          "vpc:CreateBondRouterInterfaceConnection",
          "vpc:CreateExpressCloudConnection",
          "vpc:CreateGlobalAccelerationInstance",
          "vpc:CreateIPv6Translator",
          "vpc:CreateIPv6TranslatorAclList",
          "vpc:CreateIPv6TranslatorEntry",
          "vpc:CreateNqa",
          "vpc:DeleteBandwidthPackage",
          "vpc:DeleteGlobalAccelerationInstance",
          "vpc:DeleteIPv6Translator",
          "vpc:DeleteIPv6TranslatorAclList",
          "vpc:DeleteIPv6TranslatorEntry",
          "vpc:DeleteIpv6EgressOnlyRule",
          "vpc:DescribeAccessPoints",
          "vpc:DescribeBandwidthPackageMonitorData",
          "vpc:DescribeBandwidthPackagePublicIpMonitorData",
          "vpc:DescribeGlobalAccelerationInstances",
          "vpc:DescribeGrantRulesToCbn",
          "vpc:DescribeIPv6TranslatorAclListAttributes",
          "vpc:DescribeIPv6TranslatorAclLists",
          "vpc:DescribeIPv6TranslatorEntries",
          "vpc:DescribeInstances",
          "vpc:DescribeNetworkQuotas",
          "vpc:DescribePublicIpAddress",
          "vpc:DescribeRouterInterfacesForGlobal",
          "vpc:DescribeServerRelatedGlobalAccelerationInstances",
          "vpc:DescribeVPCs",
          "vpc:DescribeVpnGatewayAvailableZones",
          "vpc:DescribeVrouters",
          "vpc:DescribeZones",
          "vpc:DiagnoseVpnConnections",
          "vpc:DiagnoseVpnConnectionsHistory",
          "vpc:DiagnoseVpnGateway",
          "vpc:DisableNatGatewayEcsMetric",
          "vpc:EnableNatGatewayEcsMetric",
          "vpc:GetBusinessAccessPointDetail",
          "vpc:GetFlowLogServiceStatus",
          "vpc:GetNatIpCidrAttribute",
          "vpc:GetObject",
          "vpc:GetPhysicalConnectionServiceStatus",
          "vpc:GetPublicIpAddressPoolServiceStatus",
          "vpc:GetTrafficMirrorServiceStatus",
          "vpc:GetVpcIpamServiceStatus",
          "vpc:GetVpnGatewayDiagnoseResult",
          "vpc:GrantInstanceToCbn",
          "vpc:InnerVpcCreateDscp",
          "vpc:InnerVpcDeleteDscp",
          "vpc:InnerVpcDescribeCrossBorderRouterInterface",
          "vpc:InnerVpcDescribeDscp",
          "vpc:InnerVpcModifyDscp",
          "vpc:InnerVpcRefreshDscp",
          "vpc:ListBusinessAccessPointPortUsage",
          "vpc:ListBusinessAccessPoints",
          "vpc:ListBusinessRegions",
          "vpc:ListGeographicSubRegions",
          "vpc:ListNatGatewayEcsMetric",
          "vpc:ListVpcCloudInstance",
          "vpc:ListVpcEndpointServicesByEndUser",
          "vpc:ModifyBandwidthPackageAttribute",
          "vpc:ModifyBandwidthPackageSpec",
          "vpc:ModifyBypassToaAttribute",
          "vpc:ModifyExpressCloudConnectionAttribute",
          "vpc:ModifyGlobalAccelerationInstanceAttributes",
          "vpc:ModifyGlobalAccelerationInstanceSpec",
          "vpc:ModifyIPv6TranslatorAclAttribute",
          "vpc:ModifyIPv6TranslatorAclListEntry",
          "vpc:ModifyIPv6TranslatorAttribute",
          "vpc:ModifyIPv6TranslatorBandwidth",
          "vpc:ModifyIPv6TranslatorEntry",
          "vpc:ModifyIpv6GatewaySpec",
          "vpc:OpenFlowLogService",
          "vpc:OpenPhysicalConnectionService",
          "vpc:OpenPublicIpAddressPoolService",
          "vpc:OpenTrafficMirrorService",
          "vpc:OpenVpcIpamService",
          "vpc:QueryPconnTrafficPrice",
          "vpc:QueryPhysicalConnectionPrice",
          "vpc:RejectVpcPeerConnection",
          "vpc:RemoveBandwidthPackageIps",
          "vpc:RemoveGlobalAccelerationInstanceIp",
          "vpc:RemoveIPv6TranslatorAclListEntry",
          "vpc:RevokeInstanceFromCbn",
          "vpc:SetHaVipMasterInstance",
          "vpc:TransformEipSegmentToPublicIpAddressPool",
          "vpc:UnAssociateEipAddress",
          "vpc:UnassociateGlobalAccelerationInstance",
          "vpc:UpdateCrossBoarderStatus",
          "vpc:associatevpccidrblock",
          "vpc:createvpc",
          "vpc:deleteBgpNetwork",
          "vpc:describeVpcs",
          "vpc:releaseIpv6Address"
        ],
        "Resource": "*"
      }
    ]
  }
  

FAQ