Les politiques RAM sont des ensembles d'autorisations qui contrôlent l'accès à vos ressources Alibaba Cloud. Elles définissent les actions que les identités RAM peuvent entreprendre sur des ressources spécifiques et dans quelles conditions.
Fonctionnement des politiques
Lorsqu'une identité RAM (utilisateur ou rôle) demande l'accès à une ressource, le service RAM évalue toutes les politiques applicables. Deux principes régissent cette évaluation :
Refus par défaut : Par défaut, les identités RAM ne disposent d'aucune autorisation. Toute demande d'action non explicitement autorisée par une politique est implicitement refusée.
Le refus explicite l'emporte sur l'autorisation : Une instruction
Denyexplicite annule toujours les instructionsAllowpour la même action, indépendamment des autres autorisations accordées.
Structure et éléments des politiques
Une politique est un document JSON composé d'une ou de plusieurs instructions. Chaque instruction comprend les éléments principaux suivants :
|
Element |
Description |
|
Effect |
Indique si l'instruction entraîne une autorisation ( |
|
Action/NotAction |
Opérations API spécifiques autorisées ou refusées (telles que |
|
Resource |
Ressources Alibaba Cloud auxquelles l'action s'applique, spécifiées par leur nom de ressource Alibaba Cloud (ARN). |
|
Condition |
(Facultatif) Contraintes à respecter pour que l'instruction s'applique, telles que l'adresse IP source ou l'heure de la requête. |
|
Principal |
Entité (utilisateur, compte ou service) dont l'accès est autorisé ou refusé. Remarque
Cet élément est utilisé dans les politiques basées sur les ressources (comme une politique de compartiment OSS), mais pas dans les politiques basées sur l'identité. |
Pour plus d'informations, consultez les rubriques Éléments des politiques d'autorisation et Structure et syntaxe des politiques.
Types de politiques
Le service RAM prend en charge deux types de politiques :
Politiques système : Prédéfinies par Alibaba Cloud pour des cas d'utilisation courants, tels que
AdministratorAccessouAliyunAccountCenterReadOnlyAccess. Vous pouvez attacher des politiques système aux identités RAM, mais vous ne pouvez pas les modifier.Politiques personnalisées : Politiques que vous créez et gérez pour définir des autorisations granulaires adaptées à vos exigences de sécurité.
Pour accorder des autorisations, attachez une ou plusieurs politiques à une identité RAM. Pour plus d'informations, consultez les rubriques Gérer les autorisations des utilisateurs RAM, Accorder des autorisations à un groupe d'utilisateurs RAM et Gérer les autorisations d'un rôle RAM.
Propriété et autorisations
Propriété des ressources : Le compte Alibaba Cloud possède toutes les ressources et en a le contrôle total. Même si un utilisateur RAM crée une ressource, la propriété revient au compte et non à l'utilisateur.
Autorisations des identités : Les identités RAM (utilisateurs et rôles) ne disposent d'aucune autorisation par défaut. Elles ne peuvent effectuer que les actions explicitement autorisées par les politiques attachées.