Cette rubrique présente les informations essentielles relatives à l'octroi des autorisations, notamment les scénarios d'autorisation, le modèle d'autorisations, les différences entre les consoles, le processus d'autorisation et la procédure d'octroi d'accès en fonction de votre méthode de connexion.
Notes
Lors de la première activation de Realtime Compute for Apache Flink, la page d'activation vous invite à procéder à une autorisation automatisée. Vous êtes redirigé vers RAM, où vous cliquez sur Agree to Authorization dans la page Cloud Resource Access Authorization. Une fois l'autorisation effectuée, votre compte Alibaba Cloud dispose d'un accès à la fois à la Management Console et à la Development Console, et peut appeler les ressources des services cloud associés.
Si vous devez partager un espace de travail avec d'autres utilisateurs et leur accorder des autorisations granulaires, suivez les instructions de cette rubrique pour configurer l'autorisation à leur intention.
Autorisation
Scénarios
Scénario | Description | Stratégie d'autorisation | Méthode d'autorisation |
Opérations administratives | Si un utilisateur doit effectuer des opérations administratives, telles que l'achat d'un espace de travail, l'achat de ressources ou l'ajustement des configurations de ressources, il doit se connecter à la console Management. |
| |
Opérations de développement et d'O&M | Si un utilisateur doit effectuer des opérations telles que le développement de jobs, le débogage ou l'O&M, il doit se connecter à la console Development. |
|
Modèle d'autorisations
Management console
Les autorisations pour la Management Console sont gérées par un compte Alibaba Cloud dans la console RAM en attachant des stratégies aux utilisateurs RAM ou aux identités RAM. La portée de ces stratégies couvre toutes les ressources du compte Alibaba Cloud, y compris celles de Realtime Compute for Apache Flink et des services associés.
Development console
Les autorisations pour la Development Console sont gérées par un compte Alibaba Cloud dans la Development Console en attribuant des rôles aux utilisateurs RAM ou à d'autres comptes Alibaba Cloud. La portée de ces rôles couvre toutes les autorisations relatives aux fonctionnalités principales et secondaires de la Development Console.
Consoles
Avant de vous connecter et d'accorder des autorisations, vous devez identifier la console à autoriser. Realtime Compute for Apache Flink propose une Management Console et une Development Console. Le tableau suivant décrit les différences entre leurs interfaces utilisateur (UI) et leurs objectifs.
|
Console |
UI |
Objectif |
|
Management Console |
La page Overview affiche en haut une carte de produit Flink Fully Managed, qui fournit des points d'entrée Quick Start et Buy Now. Sous cette carte se trouve une liste d'espaces de travail avec des colonnes telles que Workspace Status, Used/Purchased CUs et Billing Method. Dans la colonne Actions, cliquez sur Console pour accéder à l'espace de travail correspondant. Cliquez sur More pour effectuer des opérations administratives telles que la mise à l'échelle ou la libération de ressources. |
Consultez, achetez et libérez des espaces de travail, ajustez les ressources, clonez des namespaces et changez de buckets OSS pour le stockage entièrement géré. |
|
Development Console |
La Development Console comprend les zones suivantes : le volet de navigation de gauche fournit des points d'entrée pour des fonctionnalités telles que Data Development, Data Management, Data Lineage, O&M Center (incluant Job O&M, Queue Management, Session Management et Configuration Management), Connectors, File Management et Security Services. L'arborescence de fichiers à gauche sert à gérer les job drafts. La barre d'outils supérieure comprend des boutons pour des opérations telles que New, Save, Format, Deep Check, Debug, Deploy et Go to O&M. La zone centrale est l'éditeur SQL, utilisé pour écrire et modifier des scripts Flink SQL. |
Dans un namespace cible, vous pouvez effectuer des opérations telles que le développement de jobs, l'O&M et l'autorisation de namespace. |
Processus d'autorisation
Avant d'accorder des autorisations, l'administrateur (le compte Alibaba Cloud ayant acheté l'espace de travail ou un autre utilisateur disposant des autorisations requises) doit déterminer le cas d'utilisation, identifier la console requise et choisir une stratégie d'autorisation (octroi d'une stratégie/rôle système ou création d'une stratégie/rôle personnalisé). Ensuite, effectuez l'autorisation en suivant la méthode spécifique à la console cible.
Autorisation par méthode de connexion
Connexion avec un compte Alibaba Cloud
Le compte Alibaba Cloud ayant acheté l'espace de travail dispose par défaut de toutes les autorisations sur la Management Console et la Development Console et ne nécessite aucune autorisation distincte. Si un autre compte Alibaba Cloud doit accéder aux consoles Realtime Compute, vous pouvez lui accorder des autorisations comme indiqué dans les instructions suivantes.
Méthode de connexion | Console cible | Autorisation |
Compte Alibaba Cloud | Management Console | Les autres comptes Alibaba Cloud ne peuvent pas obtenir d'accès à la Management Console. |
Development Console |
|
Connexion avec un utilisateur RAM
Méthode de connexion | Console cible | Autorisation |
Utilisateur RAM | Management Console |
|
Development Console |
|
Connexion avec un rôle RAM
Lors de la connexion en endossant un rôle RAM, l'utilisateur RAM correspondant doit disposer de l'autorisation AliyunSTSAssumeRoleAccess pour endosser des rôles RAM.
Méthode de connexion | Console cible | Autorisation |
Un utilisateur RAM endossant un rôle depuis un compte Alibaba Cloud | Management Console |
|
Development Console |
|
Par exemple, si un utilisateur RAM du compte A et un autre du compte B endossent tous deux le même rôle dans le compte A, le principal autorisé est le rôle lui-même, quel que soit l'utilisateur qui l'endosse.
Connexion avec un membre Resource Directory
Méthode de connexion | Console cible | Autorisation |
Se connecter en tant qu'utilisateur root (compte Alibaba Cloud) | Management Console | Aucune autorisation distincte n'est requise. |
Development Console |
| |
Un utilisateur RAM du compte de gestion se connecte en endossant un rôle RAM d'un membre | Management Console | Dans la plupart des cas, aucune autorisation distincte n'est requise. |
Development Console |
| |
Se connecter en tant qu'utilisateur RAM d'un membre | Management Console |
|
Development Console |
| |
Un utilisateur CloudSSO se connecte en endossant un rôle RAM | Management Console |
|
Development Console |
| |
Un utilisateur CloudSSO se connecte en tant qu'utilisateur RAM | Management Console |
|
Development Console |
|
Concepts clés
Types de comptes
Type de compte | Description |
Compte Alibaba Cloud | Un compte Alibaba Cloud est l'entité fondamentale qui possède les ressources Alibaba Cloud et est utilisé pour la mesure et la facturation. Il dispose d'un accès complet à tous les produits achetés. |
Utilisateur RAM | Un utilisateur RAM est une identité dans RAM qui représente une personne ou une application nécessitant un accès aux ressources Alibaba Cloud. Après avoir créé et autorisé un utilisateur RAM, celui-ci peut accéder aux ressources cloud en fonction des autorisations accordées. Pour plus d'informations, consultez Créer un utilisateur RAM. |
Rôle RAM | Un rôle RAM est un utilisateur virtuel auquel un ensemble de stratégies peut être attribué. Contrairement à un utilisateur RAM, un rôle RAM ne possède pas d'identifiants permanents tels qu'un mot de passe de connexion ou une paire AccessKey. Une entité de confiance doit endosser le rôle pour l'utiliser. Pour plus d'informations, consultez Présentation des rôles RAM. |
Membre Resource Directory | Resource Directory (RD) est un service permettant aux clients entreprise de gérer les relations multiniveaux entre les comptes et les ressources. Un membre est un compte de ressource créé dans Resource Directory pour héberger des projets ou des applications spécifiques sur Alibaba Cloud. Pour plus d'informations, consultez Qu'est-ce que Resource Directory ?. |
Autorisation
Alibaba Cloud utilise les autorisations pour décrire ce qu'une identité RAM (utilisateur RAM, groupe d'utilisateurs RAM ou rôle RAM) peut faire sur des ressources spécifiques :
-
Le compte Alibaba Cloud (propriétaire de la ressource) contrôle toutes les autorisations
Chaque ressource possède exactement un propriétaire, qui doit être un compte Alibaba Cloud. Le propriétaire dispose d'un contrôle total sur la ressource.
Le propriétaire de la ressource n'est pas nécessairement son créateur. Par exemple, si une identité RAM est autorisée à créer des ressources, les ressources créées appartiennent au compte Alibaba Cloud. Dans ce cas, l'identité RAM est le créateur, mais pas le propriétaire.
-
Les identités RAM (opérateurs) ne disposent d'aucune autorisation par défaut
Une identité RAM représente un opérateur. Toutes ses opérations doivent être explicitement autorisées par un compte Alibaba Cloud.
Une identité RAM nouvellement créée ne dispose d'aucune autorisation par défaut. Elle ne peut agir sur les ressources via la console ou l'API qu'après que le compte Alibaba Cloud lui a accordé des autorisations.
Stratégie
Une stratégie est un ensemble d'autorisations définies avec une syntaxe et une structure spécifiques. Elle spécifie les ressources, actions et conditions autorisées. Pour plus d'informations sur les éléments de stratégie et les spécifications linguistiques prises en charge par RAM, consultez Éléments de stratégie et Structure et syntaxe des stratégies.
RAM prend en charge les types de stratégies suivants :
Stratégies système : créées et maintenues par Alibaba Cloud. Vous pouvez les utiliser, mais pas les modifier.
Stratégies personnalisées : créées et maintenues par les utilisateurs. Vous pouvez les créer, mettre à jour et supprimer vous-même.
Vous pouvez accorder des autorisations d'accès à une identité RAM en attachant des stratégies. Pour plus d'informations, consultez Accorder des autorisations à un utilisateur RAM, Accorder des autorisations à un groupe d'utilisateurs RAM et Accorder des autorisations à un rôle RAM.