Resource Access Management:Create a custom policy

Exemples courants de stratégies personnalisées

Les exemples suivants illustrent la configuration de stratégies personnalisées pour des scénarios d'autorisation courants à l'aide de l'éditeur de script.

Autorisation des opérations au niveau du compte

Les opérations au niveau du compte, telles que la création d'utilisateurs RAM et de clés AccessKey, nécessitent de définir l'élément Resource sur "*" et d'établir l'étendue d'autorisation sur Entire Alibaba Cloud Account . Ces opérations ne peuvent pas être restreintes à un groupe de ressources spécifique.

L'exemple suivant accorde les autorisations nécessaires pour créer des utilisateurs RAM et des clés AccessKey :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateUser",
        "ram:CreateAccessKey"
      ],
      "Resource": "*"
    }
  ]
}

Autoriser les utilisateurs RAM à modifier leur propre mot de passe

L'exemple suivant accorde à un utilisateur RAM les autorisations minimales requises pour modifier son propre mot de passe de connexion :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:ChangePassword",
      "Resource": "*"
    }
  ]
}

Accès en lecture seule à des ressources spécifiques

L'exemple suivant accorde un accès en lecture seule à une instance ECS spécifique. Remplacez i-xxx par votre ID d'instance réel.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:Describe*",
      "Resource": "acs:ecs:*:*:instance/i-xxx"
    }
  ]
}

Autorisation fine pour Simple Log Service

L'exemple suivant accorde les autorisations nécessaires pour interroger les journaux et créer des vues de magasin dans Simple Log Service. Remplacez exampleproject et examplelogstore par les noms réels de votre projet et de votre Logstore.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStoreLogs",
        "log:CreateStoreView"
      ],
      "Resource": [
        "acs:log:*:*:project/exampleproject/logstore/examplelogstore",
        "acs:log:*:*:project/exampleproject"
      ]
    }
  ]
}

Actions spécifiques au produit non disponibles dans l'éditeur visuel

Certaines actions ne figurent pas dans l'éditeur visuel et ne peuvent être configurées qu'à l'aide de l'éditeur de script. Voici quelques exemples :

• Security Center : yundun-sc:DescribeCdnIpList

• Accès à la console Milvus : CreateConnection , DbmConnect et autres actions connexes

• Operation Orchestration Service (OOS) : oos:StartExecution

L'exemple suivant accorde l'autorisation d'exécuter des exécutions OOS :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oos:StartExecution",
      "Resource": "*"
    }
  ]
}

Pour les actions non disponibles dans l'éditeur visuel, cliquez sur l'onglet Script Editor et saisissez manuellement le nom de l'action.

Déploiement ECS (autorisations minimales)

Le déploiement d'une instance ECS nécessite une combinaison d'actions sur plusieurs services. L'exemple suivant accorde les autorisations minimales requises pour créer une instance ECS, y compris un accès en lecture seule aux ressources VPC et de groupe de sécurité nécessaires lors de la création de l'instance :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:RunInstances",
        "ecs:DescribeInstances",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:DescribeSecurityGroups"
      ],
      "Resource": "*"
    }
  ]
}

• ecs:RunInstances : crée et démarre une instance ECS.

• ecs:DescribeInstances : interroge les détails de l'instance.

• vpc:DescribeVpcs et vpc:DescribeVSwitches : vous permettent de sélectionner un VPC et un vSwitch lors de la création de l'instance.

• ecs:DescribeSecurityGroups : vous permet de sélectionner un groupe de sécurité lors de la création de l'instance.

Configuration réseau VPC (autorisations minimales)

L'exemple suivant accorde les autorisations minimales requises pour créer un VPC et un vSwitch :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc:CreateVpc",
        "vpc:CreateVSwitch",
        "vpc:CreateSecurityGroup",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches"
      ],
      "Resource": "*"
    }
  ]
}

• vpc:CreateVpc : crée un VPC.

• vpc:CreateVSwitch : crée un vSwitch.

• vpc:CreateSecurityGroup : crée un groupe de sécurité.

• vpc:DescribeVpcs et vpc:DescribeVSwitches : interrogent les ressources réseau.

Dépannage des erreurs d'autorisation refusée

Lorsqu'un utilisateur RAM reçoit une erreur AccessForbidden ou un message d'autorisation refusée dans la console, suivez ces étapes pour identifier et résoudre le problème :

Étape 1 : Utilisez l'outil API Troubleshoot pour identifier les autorisations manquantes

Utilisez l'outil Alibaba Cloud API Troubleshoot et saisissez le RequestID de la requête ayant échoué. L'outil identifie l'AuthAction exact qui manque, afin que vous puissiez ajouter l'autorisation requise à votre stratégie personnalisée.

Étape 2 : Vérifiez l'étendue d'autorisation

Assurez-vous que l'étendue d'autorisation correspond au type d'opération :

• Opérations au niveau du compte (telles que ram:CreateUser ) : l'étendue d'autorisation doit être définie sur Entire Alibaba Cloud Account . La restriction de l'étendue à un groupe de ressources spécifique entraîne l'échec de ces opérations.

• Opérations prenant en charge les groupes de ressources : vérifiez que la stratégie est attachée avec l'étendue de groupe de ressources correcte, ou définissez l'étendue sur Entire Alibaba Cloud Account .

Étape 3 : Vérifiez les autorisations de dépendance implicites

Certaines opérations nécessitent des autorisations supplémentaires au-delà de l'action principale. Par exemple :

• Interrogations Simple Log Service : en plus de log:GetLogStoreLogs , vous pouvez avoir besoin des autorisations log:GetProject et log:GetLogStore .

• Connexion à la console Milvus : en plus des actions de gestion principales, vous avez besoin des autorisations CreateConnection et DbmConnect .

Reportez-vous à la documentation d'autorisation RAM du service Alibaba Cloud correspondant pour identifier toutes les autorisations requises.

Réduire la taille de la stratégie avec des caractères génériques

Combinez plusieurs actions partageant le même préfixe en un caractère générique, ce qui peut réduire considérablement la taille d'une stratégie. Par exemple, modifiez la stratégie suivante :

{"Action": ["oss:GetBucket", "oss:GetObject", "oss:GetBucketAcl", "oss:GetBucketLogging"]}

en :

{"Action": ["oss:Get*"]}

Diviser une stratégie par fonction

Divisez une stratégie volumineuse couvrant plusieurs fonctions en stratégies distinctes, et attachez chacune d'elles à un utilisateur ou un groupe d'utilisateurs RAM différent. Par exemple, séparez les opérations de lecture et d'écriture en deux stratégies :

• Stratégie en lecture seule : {"Action": ["oss:Get*", "oss:List*"]}

• Stratégie d'écriture : {"Action": ["oss:Put*", "oss:Delete*"]}

Diviser une stratégie par ressource

Divisez les stratégies par ressource. Par exemple, séparez les autorisations pour différents buckets OSS dans des stratégies distinctes, afin que chaque stratégie n'accorde des autorisations que pour un bucket spécifique. Cela évite qu'une seule stratégie gère trop de ressources.

Notes d'utilisation

• Lorsque vous configurez une stratégie dans l'éditeur visuel, ne sélectionnez pas toutes les actions. Choisissez l'ensemble d'actions offrant le moins de privilèges possible afin de maintenir le document de stratégie aussi petit que possible.

• Après avoir divisé une stratégie, vous devez attacher chaque stratégie résultante séparément aux utilisateurs ou groupes d'utilisateurs RAM, ce qui augmente la complexité de gestion.

• La combinaison d'actions avec des caractères génériques peut entraîner une surautorisation. Examinez attentivement l'étendue des autorisations pour éviter d'accorder plus de permissions que nécessaire pour votre activité.

• Une stratégie prend effet immédiatement après son attachement. Aucune attente n'est requise.

Pourquoi certaines autorisations sont-elles introuvables dans l'éditeur visuel ou pourquoi l'enregistrement d'une stratégie échoue-t-il ?

Ce problème peut survenir pour les raisons suivantes :

L'action n'est pas prise en charge ou n'est pas encore répertoriée dans l'éditeur visuel

Certaines actions API récemment publiées ou de bas niveau, telles que oos:StartExecution et les modèles avec caractères génériques comme swas-open:* , peuvent ne pas être disponibles dans l'éditeur visuel. L'éditeur visuel peut également ne pas gérer correctement les modèles avec caractères génériques sous certaines restrictions de ressources. Pour résoudre ce problème, cliquez sur l'onglet Script Editor et saisissez manuellement le nom de l'action.

Le nom de l'action est mal orthographié

Certains noms d'actions API présentent des différences entre le singulier et le pluriel. Par exemple, le nom d'action correct est ecs:ReInitDisks , et non ecs:ReInitDisk . Vérifiez le nom exact de l'action dans la référence API du service Alibaba Cloud correspondant.

La stratégie système n'est pas synchronisée

Si vous ne trouvez pas une stratégie système spécifique, telle que AliyunAccountCenterFullAccess , localisez le contenu JSON officiel de cette stratégie système et recréez-la en tant que stratégie personnalisée à l'aide de l'Script Editor .

Échec de la validation du format JSON

Vérifiez que votre syntaxe JSON est correcte. Les erreurs courantes incluent :

• Définir le champ Resource plus d'une fois dans une seule instruction. Pour spécifier plusieurs ressources, listez-les sous forme de tableau JSON dans un seul champ Resource . Par exemple : "Resource": ["acs:ecs:*:*:instance/i-aaa", "acs:ecs:*:*:instance/i-bbb"] .

• Utiliser des formats ARN incorrects. Assurez-vous que l'ARN suit le modèle acs:<service>:<region>:<account-id>:<resource-type>/<resource-id> .

Pourquoi l'accès à la console ou l'exécution d'opérations est-il impossible après avoir accordé FullAccess ou une stratégie personnalisée ?

Ce problème peut survenir pour les raisons suivantes :

Dépendance d'accès à la console

Certaines consoles de produits nécessitent des autorisations d'accès de base à la console, telles que PowerUserAccess , en plus des autorisations spécifiques au métier. Accorder uniquement une stratégie FullAccess spécifique au métier peut ne pas suffire pour charger la page de la console. Attachez la stratégie d'accès de base requise à l'utilisateur RAM.

Incompatibilité de l'étendue d'autorisation

Vérifiez que l'étendue d'autorisation sélectionnée lors de l'attachement de la stratégie correspond à la définition Resource de la stratégie. Par exemple, les opérations au niveau de l'instance pour des services tels qu'OceanBase nécessitent que l'étendue d'autorisation soit définie sur Entire Alibaba Cloud Account , la stratégie spécifiant l'ARN de l'instance.

Priorité et conflit de stratégies

Vérifiez si une instruction Deny dans une autre stratégie remplace l'autorisation Allow , ou s'il existe un conflit entre vos stratégies personnalisées et les stratégies système. Pour des scénarios complexes, tels que l'accès au réseau public MQTT, si une stratégie personnalisée ne prend pas effet, essayez la stratégie système officiellement recommandée (telle que AliyunMQFullAccess ) pour vérifier la connectivité avant de poursuivre le dépannage de votre stratégie personnalisée.