Use access control to manage access to OOS resources at the account level - CloudOps Orchestration Service

Utilisez Resource Access Management (RAM) pour contrôler l'accès aux ressources CloudOps Orchestration Service (OOS) au niveau du compte en créant des utilisateurs RAM ou des groupes RAM et en attachant des politiques d'autorisation spécifiques.

Cas d'utilisation

RAM est un service de contrôle d'accès fourni par Alibaba Cloud. Voici les cas d'utilisation courants pour le contrôle d'accès à OOS :

Administrateur système O&M : Vous pouvez créer un administrateur CloudOps Orchestration Service et accorder à ce groupe d'administrateurs des autorisations complètes pour CloudOps Orchestration Service, y compris la possibilité de créer, modifier et exécuter des modèles.
Développeur de modèles : Les développeurs de modèles ont besoin d'autorisations pour modifier les modèles. Vous pouvez attribuer une politique à un développeur ou à un groupe de développeurs qui permet aux membres d'appeler des actions telles que CreateTemplate et UpdateTemplate.
Opérateur de modèles : Vous pouvez restreindre les utilisateurs à l'exécution exclusive des modèles OOS.
Autorisation au niveau du modèle : Vous pouvez autoriser des utilisateurs RAM ou des groupes RAM spécifiques à exécuter un modèle.

Accorder l'autorisation PassRole à un utilisateur RAM

Remarque

Après avoir défini un rôle RAM pour le service OOS et lui avoir accordé des autorisations, seul CloudOps Orchestration Service est autorisé à utiliser ce rôle RAM. Les sous-comptes de CloudOps Orchestration Service ne sont pas automatiquement autorisés. Un sous-compte peut utiliser le rôle RAM cible via CloudOps Orchestration Service uniquement après avoir reçu l'autorisation PassRole pour le rôle RAM cible.

Pour permettre à un sous-compte d'utiliser tous les rôles RAM confiés à CloudOps Orchestration Service, créez la politique suivante et attribuez-la au sous-compte.

Politique pour accorder l'autorisation PassRole

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ram:PassRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "acs:Service": "oos.aliyuncs.com"
        }
      }
    }
  ]
}

Pour des raisons de sécurité, vous devrez peut-être restreindre un sous-compte à un rôle RAM spécifique (tel que OOSServiceRole par défaut) lors de l'utilisation de CloudOps Orchestration Service. Dans ce cas, créez la politique suivante.
Politique pour restreindre le rôle RAM pouvant être transmis
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::{parent_uid}:role/OOSServiceRole"
    }
  ]
}
```

Notes :

Si un rôle RAM est codé en dur dans un modèle (par exemple, le OOSServiceRole par défaut) et n'est pas transmis en tant que paramètre, l'utilisateur RAM n'a pas besoin de l'autorisation PassRole pour exécuter le modèle, mais il en a besoin pour créer ou mettre à jour le modèle.
Si un rôle RAM est spécifié dynamiquement en tant que paramètre lors de l'exécution du modèle et que le modèle lui-même ne définit pas de rôle RAM, l'utilisateur RAM n'a pas besoin de l'autorisation PassRole pour créer ou mettre à jour le modèle, mais il en a besoin pour exécuter le modèle avec le rôle spécifié.
Dans les politiques précédentes, remplacez {parent_uid} par votre ID de compte Alibaba Cloud.

Politiques

Étape 1 : Créer une politique personnalisée

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, choisissez Permissions > Policies.
Cliquez sur Create Policy.

Cliquez sur l'onglet JSON, collez le contenu de la politique, puis cliquez sur OK.

Exemple 1 : Autoriser un utilisateur RAM à exécuter des modèles sans pouvoir les modifier

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oos:List*",
                "oos:Get*",
                "oos:StartExecution",
                "oos:CancelExecution",
                "oos:NotifyExecution"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Exemple 2 : Autoriser un utilisateur RAM à créer et modifier des modèles sans pouvoir les exécuter

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oos:List*",
                "oos:Get*",
                "oos:CreateTemplate",
                "oos:UpdateTemplate",
                "oos:ValidateTemplateContent"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Exemple 3 : Autorisations d'administrateur pour CloudOps Orchestration Service

{
    "Version": "1",
    "Statement": [
        {
            "Action": "oos:*",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "ram:PassRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "acs:Service": "oos.aliyuncs.com"
                }
            }
        }
    ]
}

Sur la page Create Policy, saisissez un nom et une description, puis cliquez sur OK.

Une fois la politique créée, cliquez sur Policy Details pour afficher ses informations. Pour modifier la politique, cliquez sur Modify Policy Document.

Étape 2 : Accorder des autorisations à un utilisateur RAM

Dans le volet de navigation de gauche, choisissez Identities > Users.
Recherchez l'utilisateur RAM cible et cliquez sur Add Permissions dans la colonne Actions.
Dans la section Policies, sélectionnez les politiques système ou personnalisées requises.
Cliquez sur OK.