Partager les identifiants de votre compte Alibaba Cloud au sein d'une équipe engendre des risques de sécurité et complexifie la gestion des accès. Resource Access Management (RAM) vous permet de créer des utilisateurs individuels pour chaque membre de l'équipe et de leur attribuer uniquement les autorisations nécessaires. Vos collègues peuvent ainsi appeler des opérations API, utiliser des SDK ou accéder à la console OpenSearch sans exposer votre compte racine.
Prérequis
Avant de commencer, assurez-vous de disposer des éléments suivants :
Au moins un utilisateur RAM créé dans votre compte Alibaba Cloud. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM
Un accès administrateur à la console RAM
Types de politiques
RAM prend en charge deux types de politiques. Choisissez celle qui correspond le mieux à vos besoins en matière de contrôle d'accès :
| Type de politique | Gestionnaire | Cas d'utilisation |
|---|---|---|
| Politique système | Alibaba Cloud — lecture seule pour vous | Autorisations larges et prédéfinies pour les tâches courantes |
| Politique personnalisée | Vous — création, modification, suppression | Contrôle granulaire ; application du principe du moindre privilège |
Accorder des autorisations à un utilisateur RAM
Étape 1 : Se connecter à la console RAM
Connectez-vous à la console RAM avec votre compte administrateur.
Étape 2 : Créer une politique personnalisée (facultatif)
Ignorez cette étape si une politique système couvre vos besoins.
Pour appliquer le principe du moindre privilège, créez une politique personnalisée basée sur les règles d'autorisation pour les applications. Pour plus d'informations, consultez la rubrique Créer des politiques personnalisées.
Exemple 1 : Afficher les instances
Cette politique accorde à l'utilisateur RAM l'autorisation de répertorier les groupes d'applications dans la console OpenSearch :
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": "opensearch:ListAppGroup",
"Resource": "acs:opensearch:*:*:app-groups/*"
}
]
}Exemple 2 : Afficher les détails d'une instance
Cette politique accorde à l'utilisateur RAM l'autorisation de répertorier les groupes d'applications et d'afficher les détails de l'instance app_schema_demo :
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": "opensearch:ListAppGroup",
"Resource": "acs:opensearch:*:*:app-groups/*"
},
{
"Effect": "Allow",
"Action": [
"opensearch:DescribeAppGroup",
"opensearch:ListApp"
],
"Resource": "acs:opensearch:*:*:app-groups/app_schema_demo"
}
]
}Étape 3 : Attacher une politique à l'utilisateur RAM
Attachez une politique système ou la politique personnalisée que vous avez créée à l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Accorder des autorisations à un utilisateur RAM.
Les autorisations mises à jour prennent effet sous 5 minutes.
Étape 4 : Se connecter en tant qu'utilisateur RAM
Une fois les autorisations accordées, l'utilisateur RAM peut se connecter à la console OpenSearch LLM-Based Conversational Search Edition. Pour plus d'informations, consultez la rubrique Se connecter à la console Alibaba Cloud en tant qu'utilisateur RAM.
Étapes suivantes
Afficher les autorisations : Vérifiez les autorisations accordées à un utilisateur RAM, y compris celles héritées des groupes d'utilisateurs RAM. Consultez la rubrique Afficher les autorisations d'un utilisateur RAM.
Révoquer les autorisations : Supprimez les autorisations lorsqu'un utilisateur RAM change de rôle ou quitte votre organisation. Consultez la rubrique Révoquer les autorisations d'un utilisateur RAM.
Ajouter l'authentification MFA : Renforcez la sécurité du compte grâce à l'authentification multifacteur (MFA). Consultez la rubrique Qu'est-ce que l'authentification multifacteur ?