Tous les produits
Search

Ce produit

    :Créer un rôle RAM et attacher les stratégies requises au rôle

    Centre de documentation

    :Créer un rôle RAM et attacher les stratégies requises au rôle

    Dernière mise à jour :Aug 09, 2026

    Un rôle Resource Access Management (RAM) est une identité virtuelle à laquelle des stratégies peuvent être attachées. Un rôle RAM ne possède pas d'identifiants permanents, tels qu'un mot de passe de connexion ou une paire AccessKey. Une entité de confiance doit endosser le rôle RAM pour l'utiliser. Une fois le rôle endossé, l'entité de confiance obtient un jeton Security Token Service (STS) qu'elle utilise pour accéder aux ressources Alibaba Cloud en tant que rôle RAM.

    Étape 1 : Créer un rôle RAM

    Les méthodes de création d'un rôle RAM varient selon son type. L'exemple suivant décrit la création d'un rôle RAM dont l'entité de confiance est un compte Alibaba Cloud. Pour plus d'informations, consultez les rubriques Créer un rôle RAM pour un compte Alibaba Cloud de confiance, Créer un rôle RAM pour les services Alibaba Cloud et Créer un rôle RAM pour un fournisseur d'identité de confiance.

    1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

    2. Dans le volet de navigation de gauche, sélectionnez Identities > Roles.

    3. Sur la page Roles, cliquez sur Create Role.

    4. Sur la page Create Role, définissez le paramètre Principal Type sur Cloud Account, spécifiez les détails du compte Alibaba Cloud, puis cliquez sur OK.

      • Current Account : sélectionnez cette option pour autoriser tous les utilisateurs et rôles RAM du compte Alibaba Cloud actuel à endosser le rôle. Sélectionnez Current Account.

      • Other Account : sélectionnez cette option pour autoriser tous les utilisateurs et rôles RAM d'un autre compte Alibaba Cloud à endosser le rôle. Sélectionnez Other Account, puis saisissez l'ID de l'autre compte Alibaba Cloud (compte principal). Cette option sert principalement à l'accès aux ressources entre comptes. Pour plus d'informations, consultez la rubrique Accéder aux ressources entre comptes Alibaba Cloud.Vous trouverez l'ID de votre compte Alibaba Cloud (compte principal) sur la page Security Settings.

    5. (Facultatif) Pour restreindre le rôle à des utilisateurs ou rôles RAM spécifiques, cliquez sur Switch to Policy Editor afin de modifier la stratégie de confiance.

      L'éditeur propose deux modes : Visual Editor et JSON Editor. Dans l'exemple suivant, seul l'utilisateur RAM Alice du compte Alibaba Cloud actuel (AccountID=1000719) peut endosser le rôle RAM.

      • Visual Editor

        Dans la section Principal, ajoutez l'utilisateur RAM.

        Cliquez sur le lien Edit situé à côté de Cloud Account et saisissez l'ID du compte de confiance.

        Dans la boîte de dialogue Add Principal, sélectionnez Current Account pour Cloud Account et RAM user pour Identity Type. Saisissez le nom d'utilisateur cible, par exemple Alice, dans le champ User Name, puis cliquez sur OK.

      • JSON Editor

        Dans le champ RAM de l'objet Principal, saisissez l'ARN complet de l'utilisateur RAM.

        {
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "RAM": "acs:ram::100******0719:user/Alice"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

    6. Dans la boîte de dialogue Create Role, saisissez un Role Name, puis cliquez sur OK.

    Étape 2 : (Facultatif) Créer une stratégie personnalisée

    RAM propose des stratégies système et des stratégies personnalisées. Les stratégies système sont fournies par Alibaba Cloud et ne peuvent pas être modifiées. Si elles ne répondent pas à vos besoins métier, créez une stratégie personnalisée pour mettre en œuvre un contrôle d'accès granulaire.

    Plusieurs méthodes permettent de créer une stratégie personnalisée. Dans cet exemple, nous utilisons l'onglet Visual editor. Pour plus d'informations, consultez la rubrique Créer une stratégie personnalisée.

    1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

    2. Dans le volet de navigation de gauche, sélectionnez Permissions > Policies.

    3. Sur la page Policies, cliquez sur Create Policy.

    4. Sur la page Create Policy, cliquez sur l'onglet Visual Editor.

      L'éditeur visuel affiche un formulaire d'instruction comprenant les champs suivants : Effect (obligatoire, peut être défini sur Allow ou Deny, valeur par défaut : Allow), Service (obligatoire), Action (obligatoire), Resource (obligatoire) et Condition (facultatif). Vous devez sélectionner un service avant de configurer les champs Action, Resource et Condition. En bas de la page, cliquez sur Add Statement pour ajouter d'autres instructions.

    5. Configurez la stratégie.

      Pour en savoir plus sur les éléments de base d'une stratégie, consultez la rubrique Éléments de base d'une stratégie.

      1. Dans la section Effect, sélectionnez Allow ou Deny.

      2. Dans la section Service, sélectionnez un service.

        Remarque

        La console affiche les services compatibles avec l'éditeur visuel.

      3. Dans la section Action, sélectionnez All action(s) ou Select action(s).

        Le système répertorie automatiquement les actions disponibles en fonction du service sélectionné à l'étape précédente. Si vous sélectionnez Select action(s), choisissez ensuite les actions spécifiques.

      4. Dans la section Resources, sélectionnez All Resources ou Specified resource(s).

        Le système répertorie automatiquement les types de ressources disponibles en fonction des actions sélectionnées. Si vous sélectionnez Specified resource(s), cliquez sur Add Resource pour spécifier les ARN. Utilisez la fonctionnalité Match All pour sélectionner rapidement toutes les ressources d'un élément de configuration.

        Remarque

        L'interface utilisateur indique les ARN des actions associées comme étant Required. Spécifiez ces ARN pour garantir le bon fonctionnement de la stratégie.

      5. Dans la section Condition, cliquez sur Add Condition pour configurer les conditions.

        Les conditions incluent les conditions communes Alibaba Cloud et les conditions spécifiques aux services. Le système répertorie automatiquement les conditions disponibles en fonction du service et des actions configurés. Sélectionnez simplement une clé de condition et configurez sa valeur.

      6. Cliquez sur Add Statement et répétez les étapes précédentes pour configurer plusieurs instructions.

    6. En haut de la page, cliquez sur Optimize, puis sur Perform pour optimiser avancée de la stratégie.

      La fonctionnalité d'optimisation avancée des stratégies effectue les tâches suivantes :

      • Fractionne les ressources ou les conditions pour les actions incompatibles.

      • Réduit la portée des ressources.

      • Supprime les instructions en double ou fusionne les instructions.

    7. Sur la page Create Policy, cliquez sur OK.

    8. Dans la boîte de dialogue Create Policy, saisissez un policy name et une Description, puis cliquez sur OK.

    Étape 3 : Accorder des autorisations au rôle RAM

    Lorsque vous accordez des autorisations à un rôle RAM, appliquez le principe du moindre privilège en n'accordant que les autorisations nécessaires.

      Étape 4 : Endosser le rôle RAM pour accéder à Alibaba Cloud via une entité de confiance

      1. Obtenez un jeton STS pour le rôle RAM via la console Alibaba Cloud ou en appelant une opération. Pour plus d'informations, consultez les rubriques suivantes :

      2. Endossez le rôle RAM pour accéder à des ressources Alibaba Cloud spécifiques.