Utilisez les politiques Resource Access Management (RAM) pour contrôler quels utilisateurs peuvent accéder à vos systèmes de fichiers NAS et quelles opérations ils sont autorisés à effectuer.
Lorsque vous accordez l'accès NAS aux utilisateurs RAM, respectez le principe du moindre privilège. Des autorisations trop larges créent des risques de sécurité.
Procédure
-
Sélectionnez une politique d'autorisation pour l'utilisateur RAM.
Les politiques d'autorisation incluent {type} et {type}.
-
{type} : Alibaba Cloud fournit des politiques par défaut pour les tâches courantes. Politiques système pour NAS :
AliyunNASFullAccess (non recommandé) : accorde un contrôle total sur les systèmes de fichiers NAS. Cette option n'est pas recommandée en raison des permissions à haut risque qu'elle implique.
AliyunNASReadOnlyAccess : accorde un accès en lecture seule aux systèmes de fichiers NAS.
-
{type} : créez des politiques personnalisées pour un contrôle d'accès granulaire.
Utilisez l'éditeur JSON pour créer une politique personnalisée en vous basant sur les exemples ci-dessous. Créer une politique d'autorisation personnalisée.
-
-
Accordez les autorisations à l'utilisateur RAM.
Accordez à l'utilisateur RAM la politique que vous avez sélectionnée à l'étape 2. Gérer les autorisations d'un utilisateur RAM.
Exemple 1 : Accorder des autorisations sur un système de fichiers
Accorder un contrôle total sur un système de fichiers
La politique suivante utilise le système de fichiers 07d****294 à titre d'exemple. Remplacez-le par votre ID de système de fichiers réel.
RAM ne prend pas en charge l'attribution d'autorisations d'affichage sur un seul système de fichiers. Pour accorder un contrôle total sur un système de fichiers spécifique, commencez par accorder les autorisations permettant d'afficher tous les systèmes de fichiers, puis accordez les autorisations pour les opérations telles que la modification et la suppression sur ce système de fichiers.
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": "nas:*",
"Resource": [
"acs:nas:*:*:filesystem/07d****294"
]
},
{
"Effect": "Allow",
"Action": "nas:CreateMountTarget",
"Resource": "acs:vpc:*:*:vswitch/*"
},
{
"Effect": "Allow",
"Action": "cms:Query*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "nas:DescribeFileSystems",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"nas:DescribeAccessGroups",
"nas:DescribeAccessRules"
],
"Resource": "acs:nas:*:*:accessgroup/*"
},
{
"Effect": "Allow",
"Action": [
"vpc:DescribeVpcs",
"vpc:DescribeVSwitches"
],
"Resource": "*"
}
]
}Accorder des autorisations pour modifier les attributs du système de fichiers
La politique suivante utilise le système de fichiers 07d****294 à titre d'exemple. Remplacez-le par votre ID de système de fichiers réel.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:DescribeFileSystems",
"nas:ModifyFileSystem"
],
"Resource": "acs:nas:*:*:filesystem/07d****294"
}],
"Version": "1"
}Accorder des autorisations pour afficher tous les systèmes de fichiers
{
"Statement": [{
"Effect": "Allow",
"Action": "nas:DescribeFileSystems",
"Resource": "*"
}],
"Version": "1"
}Exemple 2 : Accorder des autorisations sur une cible de montage
La politique suivante accorde un contrôle total sur les cibles de montage du système de fichiers 07d****294.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:CreateMountTarget",
"nas:DescribeMountTargets",
"nas:ModifyMountTarget",
"nas:DeleteMountTarget"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294",
"acs:vpc:*:*:vswitch/*"
]
}],
"Version": "1"
}Exemple 3 : Accorder des autorisations sur un groupe d'autorisations
La politique suivante accorde un contrôle total sur tous les groupes d'autorisations.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:CreateAccessGroup",
"nas:DescribeAccessGroups",
"nas:ModifyAccessGroup",
"nas:DeleteAccessGroup",
"nas:CreateAccessRule",
"nas:DescribeAccessRules",
"nas:ModifyAccessRule",
"nas:DeleteAccessRule"
],
"Resource": "acs:nas:*:*:accessgroup/*"
}],
"Version": "1"
}Exemple 4 : Accorder des autorisations pour afficher les métriques de performance
La politique suivante accorde des autorisations pour afficher les métriques de performance de n'importe quel système de fichiers dans la console.
{
"Statement": [{
"Effect": "Allow",
"Action": "cms:Query*",
"Resource": "*"
}],
"Version": "1"
}Exemple 5 : Accorder des autorisations pour gérer la corbeille
Accorder un contrôle total sur la corbeille
La politique suivante utilise le système de fichiers 07d****294 à titre d'exemple. Remplacez-le par votre ID de système de fichiers réel.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:EnableRecycleBin",
"nas:DisableAndCleanRecycleBin ",
"nas:UpdateRecycleBinAttribute",
"nas:GetRecycleBinAttribute",
"nas:CreateRecycleBinRestoreJob",
"nas:CreateRecycleBinDeleteJob",
"nas:CancelRecycleBinJob",
"nas:ListRecycleBinJobs",
"nas:ListRecycledDirectoriesAndFiles",
"nas:ListRecentlyRecycledDirectories"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294"
]
}
],
"Version": "1"
}Accorder des autorisations pour restaurer des fichiers depuis la corbeille
La politique suivante utilise le système de fichiers 07d****294 à titre d'exemple. Remplacez-le par votre ID de système de fichiers réel.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:GetRecycleBinAttribute",
"nas:CreateRecycleBinRestoreJob",
"nas:CancelRecycleBinJob",
"nas:ListRecycleBinJobs",
"nas:ListRecycledDirectoriesAndFiles",
"nas:ListRecentlyRecycledDirectories"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294"
]
}
],
"Version": "1"
}Accorder des autorisations pour supprimer des fichiers de la corbeille
La politique suivante utilise le système de fichiers 07d****294 à titre d'exemple. Remplacez-le par votre ID de système de fichiers réel.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:GetRecycleBinAttribute",
"nas:CreateRecycleBinDeleteJob",
"nas:CancelRecycleBinJob",
"nas:ListRecycleBinJobs",
"nas:ListRecycledDirectoriesAndFiles",
"nas:ListRecentlyRecycledDirectories"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294"
]
}
],
"Version": "1"
}Accorder des autorisations pour modifier les configurations de la corbeille
La politique suivante utilise le système de fichiers 07d****294 à titre d'exemple. Remplacez-le par votre ID de système de fichiers réel.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:EnableRecycleBin",
"nas:UpdateRecycleBinAttribute",
"nas:DisableAndCleanRecycleBin",
"nas:GetRecycleBinAttribute"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294"
]
}
],
"Version": "1"
}Annexe : Référence des actions et des ressources
Pour créer une politique personnalisée dans la console RAM, définissez le Configuration Mode sur Script et saisissez la politique au format JSON. Utilisez les valeurs Action et Resource du tableau suivant. Éléments de base d'une politique d'autorisation.
|
API |
Action |
Resource |
Description |
|
|
Système de fichiers |
CreateFileSystem |
nas:CreateFileSystem |
acs:nas:<region>:<account-id>:filesystem/* |
Crée un système de fichiers. |
|
DeleteFileSystem |
nas:DeleteFileSystem |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Supprime un système de fichiers. |
|
|
ModifyFileSystem |
nas:ModifyFileSystem |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Modifie les configurations du système de fichiers. |
|
|
DescribeFileSystems |
nas:DescribeFileSystems |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Interroge les systèmes de fichiers. |
|
|
Cible de montage |
CreateMountTarget |
nas:CreateMountTarget |
|
Crée une cible de montage. |
|
DeleteMountTarget |
nas:DeleteMountTarget |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Supprime une cible de montage. |
|
|
ModifyMountTarget |
nas:ModifyMountTarget |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Modifie les configurations de la cible de montage. |
|
|
DescribeMountTargets |
nas:DescribeMountTargets |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Interroge les cibles de montage d'un système de fichiers. |
|
|
Groupe d'autorisations |
CreateAccessGroup |
nas:CreateAccessGroup |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Crée un groupe d'autorisations. |
|
DeleteAccessGroup |
nas:DeleteAccessGroup |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Supprime un groupe d'autorisations. |
|
|
ModifyAccessGroup |
nas:ModifyAccessGroup |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Modifie un groupe d'autorisations. |
|
|
DescribeAccessGroups |
nas:DescribeAccessGroups |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Interroge les groupes d'autorisations. |
|
|
CreateAccessRule |
nas:CreateAccessRule |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Crée une règle d'autorisation. |
|
|
DeleteAccessRule |
nas:DeleteAccessRule |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Supprime une règle d'autorisation. |
|
|
ModifyAccessRule |
nas:ModifyAccessRule |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Modifie une règle d'autorisation. |
|
|
DescribeAccessRules |
nas:DescribeAccessRules |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Interroge les règles d'autorisation. |
|