Si vous maîtrisez déjà Microsoft Entra ID, ce guide établit une correspondance entre ses concepts, son architecture et ses workflows et ceux d'Alibaba Cloud RAM. Vous pourrez ainsi identifier les fonctionnalités équivalentes et éviter toute confusion liée aux différences de terminologie.
Pourquoi consulter ce guide
RAM et Microsoft Entra poursuivent des objectifs similaires, mais diffèrent par leur terminologie et leur architecture. Transposer directement votre expérience Azure peut prêter à confusion. Voici trois exemples courants :
La notion de « rôle » varie : dans Azure, un rôle est un ensemble d'autorisations. Dans Alibaba Cloud, un rôle RAM est une entité d'identité que d'autres identités assument.
Contrôle unifié ou séparé : Azure distingue la gestion des identités (Microsoft Entra) du contrôle d'accès aux ressources (Azure RBAC). Alibaba Cloud RAM gère ces deux aspects au sein d'un seul service.
Absence de concept de principal de service : Alibaba Cloud ne propose pas de type d'identité programmatique dédié. À la place, utilisez un utilisateur RAM avec une AccessKey pour des identifiants à long terme, ou assumez un rôle RAM pour un accès temporaire.
Ce guide met en correspondance les concepts et les scénarios de manière systématique afin de vous aider à construire un modèle mental pour passer d'Azure/Microsoft Entra au contrôle d'accès Alibaba Cloud.
Contenu de ce guide
Ce guide aborde les points suivants :
Mise en correspondance des produits : comment les services Azure principaux se mappent aux services Alibaba Cloud et où les philosophies de conception divergent.
Mise en correspondance des concepts clés : hiérarchies des ressources, entités d'identité et modèles d'autorisation comparés côte à côte.
Conseils par scénario : équivalents Alibaba Cloud pour les workflows Azure courants — authentification, accès inter-comptes, audit et développement.
Mise en correspondance des produits
Le tableau suivant met en correspondance les services Microsoft Entra principaux avec leurs équivalents Alibaba Cloud.
|
Service Azure |
Service Alibaba Cloud |
Description |
|
Le service central de gestion des identités et des accès (IAM) pour chaque plateforme. Prend en charge l'authentification multifacteur (MFA), le SSO, l'intégration d'applications et l'émission de jetons. Authentification des identités et intégration d'applications. |
||
|
RAM utilise des politiques pour gérer toutes les ressources au sein d'un compte. Mise en correspondance des concepts d'autorisation. |
||
|
API permettant de gérer les entités d'identité, l'accès aux applications et les attributions de politiques. Développement et SDK. |
||
|
Accès inter-comptes/inter-locataires. Accès inter-comptes/inter-locataires. |
Différences de philosophie de conception
Les deux plateformes fournissent des solutions IAM, mais adoptent des approches architecturales différentes :
Microsoft Entra ID est un service d'identité autonome. Un locataire Entra ID agit comme une frontière d'identité dédiée, distincte des abonnements aux ressources Azure. Les utilisateurs, les applications et les politiques d'accès existent au sein de ce locataire.
Alibaba Cloud RAM est intégré au compte Alibaba Cloud. Le compte sert à la fois de frontière d'identité et de frontière de ressources. Les utilisateurs RAM, les rôles et les politiques sont définis dans le périmètre du compte, ce qui rend la relation entre les identités et les ressources plus directe.
Mise en correspondance des concepts clés
Cette section met en correspondance la terminologie et les principales différences entre les deux plateformes, couvrant l'architecture des ressources, les entités d'identité et les modèles d'autorisation.
Architecture de gestion des ressources
Les deux plateformes organisent les ressources selon une hiérarchie, mais les noms et les rôles de chaque niveau diffèrent.
|
Concept Azure |
Concept Alibaba Cloud |
Niveau |
Description |
|
Locataire |
Compte de gestion |
Conteneur de premier niveau |
Le conteneur de gestion de premier niveau pour une entreprise. Le compte de gestion possède l'intégralité du Resource Directory et dispose d'un contrôle total sur le Resource Directory, les dossiers et les comptes membres. Le dossier Root constitue le nœud supérieur de la structure de répertoire. |
|
Groupe de gestion |
Dossier |
Unité organisationnelle |
Organise et gère plusieurs abonnements ou comptes. Les deux prennent en charge l'imbrication. |
|
Abonnement |
Compte membre |
Frontière d'isolation |
Un compte membre est l'équivalent Alibaba Cloud d'un abonnement Azure : il constitue une frontière d'isolation des ressources. |
|
Groupe de ressources |
Groupe de ressources |
Unité de regroupement |
Un conteneur logique pour les ressources. Dans Alibaba Cloud, les groupes de ressources ne sont pas utilisés pour la gestion du cycle de vie. |
|
Ressource |
Ressource |
Ressource |
Une ressource cloud telle qu'une machine virtuelle, un stockage ou une base de données. |
-
Hiérarchie des ressources Azure
Azure utilise une hiérarchie à cinq niveaux : locataire > groupe de gestion > abonnement > groupe de ressources > ressource. Le locataire constitue la frontière d'identité. Les groupes de gestion appliquent la conformité entre les abonnements. Un abonnement est l'unité de base de facturation et d'isolation.
-
Hiérarchie des ressources Alibaba Cloud
Alibaba Cloud utilise une hiérarchie composée de : compte de gestion > dossier > compte membre > groupe de ressources > ressource. Le compte de gestion possède le Resource Directory. Les dossiers organisent les comptes membres, et les comptes membres constituent les frontières d'isolation des ressources.
Principales différences
Frontières d'identité vs frontières de ressources : un locataire Entra ID isole les données d'identité (utilisateurs, applications, politiques) et ne peut pas contenir directement des ressources Azure. Un compte de gestion Alibaba Cloud est un compte Alibaba Cloud et peut héberger directement des ressources, bien qu'il soit déconseillé de créer des ressources métier sous le compte de gestion.
Resource Directory facultatif : un abonnement Azure doit appartenir à un locataire et à une hiérarchie de groupes de gestion. Le Resource Directory d'Alibaba Cloud est facultatif. La hiérarchie des comptes de gestion et des dossiers devient disponible uniquement après activation. Sans Resource Directory, un compte fonctionne comme un conteneur autonome de premier niveau.
Mise en correspondance des concepts d'identité
Le tableau suivant met en correspondance les entités d'identité entre les deux plateformes.
|
Terme Microsoft Entra |
Terme Alibaba Cloud RAM |
Type d'entité |
Description |
|
Identité humaine |
Un utilisateur RAM appartient à un seul compte et ne peut pas s'étendre sur plusieurs comptes (contrairement aux utilisateurs invités Entra ID). |
||
|
Identité programmatique |
Un utilisateur RAM doté d'une AccessKey fonctionne comme un principal de service avec un secret client. |
||
|
Identité programmatique |
Accès sans identifiant pour les charges de travail. Alibaba Cloud implémente cette fonctionnalité via des rôles RAM. |
||
|
Regroupement |
Les groupes d'utilisateurs RAM sont utilisés uniquement pour l'autorisation par lot. |
||
|
Utilisateur ou principal de service ayant reçu l'autorisation |
Utilisateur RAM ou rôle RAM ayant reçu la politique |
Administrateur |
Un super administrateur RAM dispose d'un contrôle total sur toutes les ressources (y compris les identités) au sein du compte. Un administrateur global Entra ID ne peut gérer que les identités, pas les abonnements. |
Principales différences
Conception des identités humaines : Entra ID sépare strictement les identités humaines et programmatiques. Un utilisateur RAM est une identité polyvalente : ajoutez un mot de passe de console pour un accès humain, ou créez une AccessKey pour un accès programmatique.
Conception des identités programmatiques : Entra ID dispose d'un principal de service dédié pour l'authentification des applications. Alibaba Cloud ne propose pas de type d'entité équivalent. Les utilisateurs RAM (avec des AccessKeys) et les rôles RAM peuvent tous deux servir les charges de travail programmatiques. Pour un accès temporaire plus sécurisé, un programme peut assumer un rôle RAM au lieu d'utiliser des AccessKeys à long terme.
Différences d'isolation des comptes : Microsoft Entra ID prend en charge les utilisateurs invités inter-locataires (collaboration B2B). Un locataire peut inviter un utilisateur d'un autre locataire à accéder à ses ressources en tant qu'invité. Alibaba Cloud RAM ne prend pas en charge les identités d'invités inter-comptes. Un utilisateur RAM appartient strictement au compte Alibaba Cloud qui l'a créé, et les utilisateurs RAM sont totalement isolés entre les comptes Alibaba Cloud. Si vous vous connectez avec le compte Alibaba Cloud A, vous ne pouvez ni afficher ni gérer les utilisateurs RAM du compte Alibaba Cloud B. Pour confirmer quel compte possède un utilisateur RAM, vérifiez son ARN, qui utilise le format
acs:ram::<Account ID>:user/<Username>. Pour gérer un utilisateur RAM spécifique, connectez-vous avec le compte Alibaba Cloud qui l'a créé. Les comptes Alibaba Cloud sur différents sites sont également indépendants les uns des autres, et les utilisateurs RAM ne fonctionnent pas d'un site à l'autre.
Mise en correspondance des concepts d'autorisation
Le tableau suivant met en correspondance les concepts d'autorisation entre les deux plateformes.
|
Terme Azure/Microsoft Entra |
Terme Alibaba Cloud RAM |
Description |
|
Un ensemble d'autorisations qui définit les actions qu'une identité peut effectuer. |
||
|
Associe une politique à une identité. |
||
|
Autorisations prédéfinies fournies par le fournisseur cloud. |
||
|
Autorisations définies par l'utilisateur et adaptées à des besoins spécifiques. |
||
|
Contrôle d'accès basé sur des conditions, telles que les restrictions d'adresse IP source ou les exigences MFA. |
Principales différences
-
Différences sémantiques entre rôles et politiques
Il s'agit de la différence conceptuelle la plus importante. Un rôle Azure est un conteneur d'autorisations, pas une identité. Un rôle RAM est une entité d'identité qui doit être assumée et dotée d'une politique avant de pouvoir agir. Ce qu'Azure appelle un « rôle » correspond à ce qu'Alibaba Cloud appelle une « politique ».
-
Différences de portée des politiques
L'écosystème Microsoft sépare les autorisations : les rôles Entra RBAC contrôlent les ressources du locataire (utilisateurs, groupes, applications), tandis qu'Azure RBAC contrôle les ressources cloud (machines virtuelles, stockage). Alibaba Cloud utilise un modèle unifié : une seule politique RAM couvre tous les services et ressources sous un même compte. Une politique RAM prend en charge une granularité allant du niveau service jusqu'aux actions et ressources individuelles.
RemarqueLa granularité des autorisations varie selon le service Alibaba Cloud. Services Alibaba Cloud compatibles avec RAM.
Conseils par scénario
Cette section met en correspondance les workflows Azure/Microsoft Entra avec leurs équivalents Alibaba Cloud pour l'authentification, l'accès inter-comptes, l'audit et le développement.
Authentification des identités et intégration d'applications
Les deux plateformes prennent en charge l'authentification multifacteur (MFA), le SSO d'entreprise et l'intégration d'applications, mais diffèrent par leur conception et leur mise en œuvre.
|
Microsoft Entra |
Alibaba Cloud |
Cas d'utilisation |
Description |
|
Gestion des utilisateurs RAM et des groupes d'utilisateurs |
Gérer les utilisateurs/groupes |
Créez, supprimez et modifiez les utilisateurs et les groupes d'utilisateurs. |
|
|
Authentification multifacteur |
RAM prend en charge le MFA virtuel (équivalent aux jetons logiciels OATH d'Entra), les passkeys, les téléphones mobiles sécurisés (équivalents au SMS d'Entra) et les e-mails de sécurité. |
||
|
Fédération d'identités |
Alibaba Cloud prend en charge le SSO basé sur l'utilisateur et le SSO basé sur le rôle pour l'intégration avec un fournisseur d'identité d'entreprise (IdP). CloudSSO convient aux scénarios multi-comptes au sein d'un Resource Directory. |
||
|
SSO d'entreprise |
La gestion des applications OAuth fournit une intégration d'autorisation pour les services Alibaba Cloud. IDaaS agit comme un IdP indépendant pour l'intégration d'applications d'entreprise. |
||
|
- |
Synchronisation des comptes |
Synchronisez les identités d'entreprise on-premises vers le cloud. |
|
|
Service de jetons d'identification |
Alibaba Cloud STS est utilisé pour émettre des identifiants de sécurité temporaires dans les scénarios d'assumption de rôle. Le service OAuth est utilisé pour émettre des jetons d'accès pour les applications OIDC/OAuth. |
Principales différences
-
Fédération d'identités
Entra ID peut agir à la fois comme fournisseur d'identité (IdP) et comme fournisseur de services (SP). Alibaba Cloud RAM agit principalement comme fournisseur de services, en faisant confiance à votre IdP d'entreprise.
-
Services de jetons
Entra ID utilise un point de terminaison unique prenant en charge nativement OAuth 2.0 et OIDC. Alibaba Cloud divise cette fonctionnalité en deux services :
STS : émet des identifiants de sécurité temporaires pour l'assumption de rôle et le SSO basé sur le rôle.
Service OAuth : émet des jetons d'accès JWT pour les outils officiels (comme Alibaba Cloud CLI) et les applications OIDC/OAuth enregistrées dans RAM.
Accès inter-comptes/inter-locataires
Les deux plateformes prennent en charge l'accès inter-comptes (inter-locataires dans Entra ID), mais utilisent des mécanismes différents.
|
Microsoft Entra |
Alibaba Cloud |
Cas d'utilisation |
Description |
|
Accès inter-comptes pour les utilisateurs d'entreprise |
Obtenu en assumant un rôle RAM dans le compte cible. |
||
|
Accès inter-comptes pour les applications d'entreprise |
Entra ID prend en charge l'enregistrement d'applications multi-locataires. Alibaba Cloud utilise STS AssumeRole pour des identifiants temporaires. |
||
|
Accès aux applications pour les utilisateurs consommateurs |
RAM ne propose pas cette fonctionnalité. Utilisez plutôt Alibaba Cloud IDaaS CIAM. |
Principales différences
Dans Entra ID, l'accès inter-locataires utilise la collaboration B2B : le locataire cible invite un utilisateur externe en tant qu'invité, l'ajoute à son annuaire et lui attribue des rôles. Cela crée une identité persistante dans le locataire cible.
Dans Alibaba Cloud, l'accès inter-comptes utilise l'assumption de rôle sans créer d'identité dans le compte cible. Un utilisateur ou un programme appelle STS (AssumeRole, AssumeRoleWithSAML ou AssumeRoleWithOIDC) pour assumer temporairement un rôle RAM dans le compte cible.
Outre l'assumption de rôle RAM, Alibaba Cloud propose également une autorisation inter-comptes basée sur les ressources (telle que la politique de bucket OSS ou le partage de ressources) pour certains produits.
Journalisation et audit
Les deux plateformes fournissent des fonctionnalités d'audit opérationnel et de journalisation.
|
Microsoft Entra |
Alibaba Cloud |
Description |
|
Suit les opérations de console et d'API. ActionTrail est un service Alibaba Cloud distinct, et non une fonctionnalité intégrée à RAM. |
||
|
ActionTrail (événements de connexion) |
Les événements de connexion à la console sont enregistrés dans ActionTrail. Il n'existe pas de service de journaux de connexion distinct. |
|
|
Configurez le stockage à long terme et l'analyse des journaux d'audit. |
Principales différences
Catégorisation des journaux : Entra ID sépare les journaux de connexion des journaux d'audit. Alibaba Cloud consolide tous les événements dans ActionTrail.
Portée de l'audit : les journaux d'audit d'Entra ID couvrent uniquement les opérations d'identité ; les opérations sur les ressources cloud sont envoyées vers les journaux d'activité Azure. Alibaba Cloud ActionTrail couvre à la fois les opérations d'identité RAM et les opérations sur les ressources cloud au sein d'un seul service.
Développement et SDK
Les deux plateformes fournissent des outils de développement et des SDK.
|
Microsoft Entra |
Alibaba Cloud |
Cas d'utilisation |
Description |
|
Intégration d'applications OAuth/OIDC |
Développez des applications OAuth/OIDC et intégrez-les à la plateforme d'authentification cloud. |
||
|
Appels API |
Gestion complète du cycle de vie des entités d'identité (utilisateurs, groupes), de l'accès aux applications et de l'attribution des politiques. |
||
|
SDK d'authentification des identités |
Les deux prennent en charge les chaînes d'identifiants pour la résolution automatique des identifiants. |
||
|
- |
Bibliothèque d'authentification |
Alibaba Cloud ne propose pas de bibliothèque d'authentification équivalente. Utilisez une bibliothèque OAuth/OIDC tierce. |
Seules certaines opérations OpenAPI Alibaba Cloud prennent en charge l'authentification par jeton Bearer (jeton d'accès). Identifiants. Toutes les opérations REST API Azure et Microsoft Graph utilisent des jetons d'accès provenant du service de jetons Entra.
Principales différences
-
Architecture API : Microsoft Entra utilise un point d'entrée unique — toutes les opérations d'identité, d'application et de politique passent par l'API Microsoft Graph. Alibaba Cloud RAM utilise trois points de terminaison API indépendants :
IMS (Identity Management Service) : gère le cycle de vie des identités (utilisateurs, groupes), la configuration SSO et l'enregistrement des applications OAuth.
RAM : gestion des politiques et autorisation.
STS (Security Token Service) : assumption de rôle et émission d'identifiants temporaires.