Créez un utilisateur RAM et accordez-lui les autorisations minimales nécessaires pour un contrôle d'accès granulaire à vos ressources cloud.
Pourquoi utiliser des utilisateurs RAM ?
Un compte Alibaba Cloud est comparable au compte root d'un système Linux : il dispose de toutes les autorisations, mais son utilisation quotidienne n'est pas recommandée. Lorsque plusieurs collaborateurs doivent travailler sur des ressources cloud, utilisez Resource Access Management (RAM) pour créer des utilisateurs RAM sous votre compte Alibaba Cloud et n'accordez à chacun que les autorisations strictement nécessaires à ses tâches.
|
Élément |
Compte Alibaba Cloud |
Utilisateur RAM |
|
Rôle d'identité |
Propriétaire de toutes les ressources. Détient la propriété complète et les autorisations les plus élevées. |
Utilisateur des ressources et des services. Les autorisations sont accordées par le compte Alibaba Cloud. Correspond généralement à une personne ou à une application spécifique. |
|
Possède des ressources cloud |
Oui |
Non. Les ressources appartiennent au compte Alibaba Cloud. |
|
Autorisations par défaut |
Autorisations complètes. Ne peuvent pas être restreintes. |
Aucune autorisation par défaut. Doivent être accordées par le compte Alibaba Cloud. |
|
Utilisation recommandée |
Uniquement pour les opérations de gestion clés : autorisation, paiement et gestion du compte. |
Développement quotidien, exploitation et maintenance (O&M), déploiement et autres tâches. |
Procédure
Créer un utilisateur RAM : Utilisez l'option Get Started dans la console pour créer un RAM User avec les autorisations Auditing Administrator.
Se connecter en tant qu'utilisateur RAM : Connectez-vous à la console en tant que nouvel utilisateur RAM et effectuez la configuration initiale.
Vérifier les autorisations de l'utilisateur RAM : Vérifiez que les autorisations ont bien été accordées.
Il est impossible de convertir directement un compte Alibaba Cloud existant en utilisateur RAM. Pour attribuer des droits à des personnes disposant déjà de leur propre compte Alibaba Cloud, créez de nouveaux utilisateurs RAM sous votre compte Alibaba Cloud et accordez-leur les autorisations nécessaires.
Étape 1 : Créer un utilisateur RAM
Créer rapidement un utilisateur et lui accorder des autorisations
Connectez-vous à la console RAM avec votre compte Alibaba Cloud.
-
Sur la page Overview, cliquez sur , puis sélectionnez le scénario cible.
L'exemple suivant utilise le scénario Auditing Administrator. Un Auditing Administrator dispose de toutes les autorisations pour CloudConfig, ActionTrail et Log Service, et peut consulter l'état de toutes les ressources Alibaba Cloud.
La section Workflow Preview située à gauche présente les étapes du scénario Auditing Administrator : création d'un utilisateur, configuration des paramètres de connexion, création d'un groupe d'utilisateurs, ajout de l'utilisateur au groupe, création d'une stratégie personnalisée et association de la stratégie au groupe.
L'assistant Get Started propose également un scénario Security Administrator destiné aux responsables de la sécurité cloud. Ce scénario accorde toutes les autorisations pour les services de sécurité, y compris l'activation et l'achat de services de sécurité cloud.
Aucun modèle de scénario prédéfini n'existe pour un administrateur système. Si vous recherchez ce rôle, utilisez plutôt le scénario Super User. Un super utilisateur peut créer, afficher et effectuer des opérations sur tous les services cloud, mais ne peut pas gérer les identités et les autorisations, ni la structure du compte ou les liaisons de comptes.
Le tableau suivant compare les différents scénarios d'administration.
Scénario
Étendue des autorisations
Rôle prévu
Auditing Administrator
Toutes les autorisations pour CloudConfig, ActionTrail et Log Service ; possibilité de consulter l'état de toutes les ressources
Auditeur de conformité
Security Administrator
Toutes les autorisations pour les services de sécurité, y compris l'activation et l'achat de services de sécurité cloud ainsi que la configuration des règles de sécurité
Responsable de la sécurité
Super User
Autorisations de création, d'affichage et d'exécution d'opérations sur tous les services cloud ; impossibilité de gérer les identités et les autorisations
Ingénieur des opérations système
-
Consultez ou modifiez les paramètres de configuration.
Tous les paramètres prédéfinis sont visibles, mais seuls certains peuvent être modifiés. Consultez la console pour identifier les paramètres modifiables.
Cliquez sur Perform.
Suivez la progression de la configuration. Une fois celle-ci terminée, enregistrez le nom d'utilisateur et le mot de passe de connexion de l'utilisateur RAM.
Pour un utilisateur RAM créé via le démarrage rapide, vous pouvez modifier sa configuration ultérieurement dans la console RAM. Pour plus d'informations, consultez la rubrique Modifier les informations de base d'un utilisateur RAM.
Pour créer manuellement un utilisateur RAM et gérer ses autorisations, consultez les rubriques Créer un utilisateur RAM, Gérer les autorisations des utilisateurs RAM et Supprimer les autorisations d'un utilisateur RAM.
Définir un alias de compte (recommandé)
Le nom de connexion par défaut d'un utilisateur RAM est <UserName>@<AccountAlias>.onaliyun.com, où <AccountAlias>.onaliyun.com correspond au Default Domain du compte Alibaba Cloud, et <AccountAlias> à l'account alias. Par défaut, l'account alias correspond à l' Account ID du compte Alibaba Cloud. Nous vous recommandons de définir un alias de compte facile à mémoriser avant de créer des utilisateurs RAM. Cela remplace l' Account ID à 16 chiffres et simplifie la connexion des utilisateurs RAM.
Pour modifier le Default Domain, procédez comme suit :
Connectez-vous à la console RAM avec votre compte Alibaba Cloud.
Dans le volet de navigation de gauche, choisissez . Cliquez sur Default Domain à côté de l'option Edit pour le modifier.
Seul un compte Alibaba Cloud ou un utilisateur RAM disposant des autorisations d'administrateur RAM peut définir ou modifier le nom de domaine par défaut.
Un alias de compte prend effet immédiatement. Les noms de connexion de tous les nouveaux utilisateurs RAM utiliseront cet alias par défaut.
Étape 2 : Se connecter en tant qu'utilisateur RAM
-
Utilisez l'une des URL suivantes pour vous connecter à la console en tant qu'utilisateur RAM. Pour éviter de saisir le Default Domain du compte à chaque fois, utilisez l'URL de connexion dédiée.
URL de connexion générale
Connectez-vous à la Console de gestion Alibaba Cloud en tant que nouvel utilisateur RAM.
RemarqueLa page de connexion des utilisateurs RAM diffère de celle des comptes Alibaba Cloud. Pour plus d'informations, consultez la rubrique Se connecter à la Console de gestion Alibaba Cloud en tant qu'utilisateur RAM.
URL de connexion dédiée
Récupérez l'URL de connexion des utilisateurs RAM depuis la page Overview de la console RAM. Cette URL permet à un utilisateur RAM de se connecter sans saisir le Default Domain du compte.
Dans la section Basic Information, repérez l'Logon URL au format
https://signin.alibabacloud.com/{default domain name}/login.htm. Cliquez sur Copy Logon URL à droite. Sur la page RAM User Logon, saisissez le nom d'utilisateur RAM, puis cliquez sur Next.
Saisissez le mot de passe de l'utilisateur RAM, puis cliquez sur Log On.
Lors de la première connexion, vous devez associer un dispositif d'authentification multifacteur (MFA). Lors des connexions suivantes, un code MFA vous sera demandé. Pour plus d'informations, consultez la rubrique Associer un dispositif MFA à un utilisateur RAM.
Réinitialisez le mot de passe de l'utilisateur RAM : par défaut, un utilisateur RAM créé via l'assistant Get Started doit réinitialiser son mot de passe lors de sa première connexion.
Étape 3 : Vérifier les autorisations
L'Auditing Administrator que vous avez créé dispose de toutes les autorisations pour CloudConfig, ActionTrail et Log Service, et peut consulter l'état de toutes les ressources Alibaba Cloud. Les étapes suivantes utilisent ActionTrail et RAM comme exemples pour vérifier les autorisations.
-
Après vous être connecté à la console en tant qu'utilisateur RAM, survolez l'icône de profil en haut à droite pour afficher les informations de l'utilisateur.
Le panneau affiche des informations telles que l'adresse e-mail de connexion, l'ID de compte, l'identité actuelle, l'alias d'entreprise et l'ID de compte Alibaba Cloud de l'utilisateur RAM.
-
Accédez à la console ActionTrail et tentez d'effectuer une opération.
Par exemple, dans le volet de navigation de gauche, choisissez pour afficher les journaux d'événements de tous les services.
-
Accédez à la console RAM.
Dans le volet de navigation de gauche, choisissez pour afficher les utilisateurs RAM créés.
Répétez les étapes décrites dans la section Créer un utilisateur RAM. Vous recevrez une erreur d'accès refusé.
Obtenir le nom de connexion du compte Alibaba Cloud
Si vous devez obtenir le nom de connexion complet du compte Alibaba Cloud, par exemple pour des opérations intercomptes, pour contacter l'administrateur du compte ou pour remplir des formulaires de demande, utilisez l'une des méthodes suivantes.
Méthode 1 : Utiliser le Account Center
Connectez-vous à la Console de gestion Alibaba Cloud en tant qu'utilisateur RAM.
Accédez à la page Account Center :
https://account-console.alibabacloud.com/overview.Dans la section Account Information, consultez la valeur du champ Logon Name. La valeur affiche le nom de connexion du compte Alibaba Cloud. Une partie du nom de connexion est masquée.
Méthode 2 : Utiliser la console Billing
Connectez-vous à la Console de gestion Alibaba Cloud en tant qu'utilisateur RAM.
Accédez à la page de la console Billing :
https://usercenter2-intl.console.alibabacloud.com/fortune/billing-account.Dans la section Basic Information, consultez le champ Account Name. Ce champ affiche le nom de connexion complet du compte Alibaba Cloud.
Pour accéder à la page de la console Billing, l'utilisateur RAM doit disposer de la stratégie d'autorisation AliyunBSSReadOnlyAccess. Sinon, une erreur d'accès refusé s'affiche.
Résoudre les problèmes courants liés aux autorisations
Si un utilisateur RAM rencontre une erreur d'accès refusé lors de l'accès à une ressource cloud, consultez la rubrique Comment résoudre une erreur d'accès refusé ?.
Rubriques connexes
Pour des instructions détaillées, consultez les rubriques suivantes :