Tous les produits
Search

Ce produit

    Managed Security Service:Accorder à Managed Security Service l'accès aux ressources cloud

    Centre de documentation

    Managed Security Service:Accorder à Managed Security Service l'accès aux ressources cloud

    Dernière mise à jour :Sep 18, 2026

    Avant d'utiliser Managed Security Service, effectuez les autorisations STS et SSO afin d'accorder au service l'accès à vos ressources cloud.

    Autorisation STS

    Rôle lié au service pour Managed Security Service

    Le service Alibaba Cloud Security Token Service (STS) gère les autorisations d'accès temporaires. Créez le rôle lié au service AliyunServiceRoleForMssp pour autoriser Managed Security Service à accéder à vos ressources cloud, telles que ECS, Security Center, OSS et ApsaraDB RDS.

    Important

    • Si vous avez souscrit à Managed Security Service depuis la console Managed Security Service, une invite vous proposera de créer le rôle lié au service AliyunServiceRoleForMssp lors de votre première connexion. Vous pouvez ignorer cette étape.

    • Si la boîte de dialogue Service Authorization n'apparaît pas après votre connexion à la console Managed Security Service, le service est déjà autorisé. Pour le vérifier, ouvrez la console RAM et vérifiez la présence du rôle AliyunServiceRoleForMssp sur la page Identities > Roles.

    1. Connectez-vous à la console Managed Security Service.

    2. Dans la boîte de dialogue Service Authorization, cliquez sur Authorize and Activate.

    Rôle lié au service pour l'hébergement de sécurité ESA

    Pour activer les opérations de sécurité de Managed Security Service pour Edge Security Acceleration (ESA), créez le rôle lié au service AliyunServiceRoleForESAMssp. Ce rôle accorde à Managed Security Service l'accès à vos ressources ESA et SLS.

    1. Connectez-vous à la console Managed Security Service.

    2. Sur la page Overview, cliquez sur Create ESA MSS ServiceLinkRole dans le coin supérieur droit.

    3. Dans la boîte de dialogue Service Authorization, cliquez sur Authorize and Activate.

    Autorisation SSO

    Créez un rôle RAM utilisant un fournisseur d'identité (IdP) comme entité de confiance. Cela permet une authentification unique (SSO) basée sur les rôles entre l'IdP de votre entreprise et Alibaba Cloud, permettant à Managed Security Service de récupérer toutes les données nécessaires à l'évaluation des risques et au renforcement de la sécurité de vos ressources cloud.

    Prérequis

    Vous disposez du certificat XML requis pour l'autorisation de Managed Security Service.

    Important

    Si vous ne possédez pas le certificat XML, contactez le responsable de livraison qui vous a été attribué lors de l'achat.

    Procédure

    1. Connectez-vous à la console RAM avec votre compte Alibaba Cloud.

    2. Créez un IdP SAML.

      1. Dans le volet de navigation de gauche, choisissez Integrations > SSO.

      2. Sous l'onglet Role-based SSO, cliquez sur l'onglet SAML, puis sur Create IdP.

      3. Sur la page Create IdP, saisissez un IdP Name (par exemple, aliyun-mssp) et une Description.

      4. Dans la section Metadata File, cliquez sur Upload Metadata File pour télécharger le certificat XML de Managed Security Service.

      5. Cliquez sur Create IdP.

    3. Créez un rôle RAM en définissant l'IdP aliyun-mssp créé à l'étape précédente comme entité de confiance.

      1. Dans le volet de navigation de gauche, choisissez Identities > Roles.

      2. Sur la page Roles, cliquez sur Create Role.

      3. Dans le coin supérieur droit de la page Create Role, cliquez sur Switch to Policy Editor.

      4. Dans l'éditeur visuel, spécifiez l'IdP aliyun-mssp créé à l'étape 2.

      5. Dans l'éditeur, configurez les conditions.

        Le tableau suivant décrit les clés de condition disponibles au niveau du service.

        Clé de condition

        Description

        Obligatoire

        Exemple

        saml:recipient

        Alibaba Cloud vérifie la valeur de cet élément pour s'assurer que l'assertion SAML est destinée à Alibaba Cloud.

        Oui

        La valeur est fixe : https://signin.alibabacloud.com/saml-role/sso

      6. Cliquez sur OK. Dans la boîte de dialogue Create Role, saisissez un Role Name (par exemple, aliyun-mssp), puis cliquez sur OK.

    4. Accordez des autorisations au rôle RAM aliyun-mssp.

      1. Sur la page qui s'affiche après la création du rôle RAM, cliquez sur Grant Permission. Vous pouvez également choisir Identities > Roles dans le volet de navigation de gauche. Recherchez ensuite le rôle RAM aliyun-mssp et cliquez sur Attach Policy dans la colonne Actions.

      2. Dans le panneau Grant Permission, ajoutez les autorisations suivantes au rôle RAM aliyun-mssp. Gérer les autorisations d'un rôle RAM.

        • ReadOnlyAccess : collecte et vérifie les données de configuration de sécurité des produits cloud tels que ECS, OSS, ApsaraDB RDS et SLS.

        • AliyunYundunFullAccess : collecte et vérifie les données de configuration de sécurité des produits de sécurité cloud tels que Security Center, Cloud Firewall et Web Application Firewall (WAF). Déploie également des règles d'inspection et exécute des réponses d'urgence, telles que le blocage des menaces.

        • AliyunSupportFullAccess : gère les tickets de support pour les demandes de renseignements sur les produits.

        • AliyunCloudMonitorFullAccess : configure la surveillance des sites web dans CloudMonitor.

        • AliyunECSFullAccess (facultatif) : requis pour les interventions d'urgence et la maintenance sur les hôtes, telles que la création de snapshots d'image, la modification des politiques de groupe de sécurité et l'application de correctifs.

    Révoquer l'autorisation de service

    Pour révoquer l'autorisation de Managed Security Service, supprimez les autorisations du rôle RAM, puis supprimez le rôle.

    1. Révoquez les autorisations du rôle. Révoquer les autorisations d'un rôle RAM.

    2. Supprimez le rôle. Supprimer un rôle RAM.