Resource Access Management:Require MFA for accessing cloud resources

Prérequis

• Avant de créer une stratégie personnalisée, assurez-vous de comprendre les éléments de base et la syntaxe du langage des stratégies d'autorisation. Pour plus d'informations, consultez les sections Éléments de stratégie d'autorisation et Structure et syntaxe des stratégies.

• Téléchargez et installez l'application Google Authenticator sur votre appareil mobile. Procédez comme suit pour télécharger l'application :

  • Pour iOS : recherchez Google Authenticator dans l'App Store.

  • Pour Android : recherchez Google Authenticator dans votre magasin d'applications préféré.

    Remarque

    L'application Google Authenticator pour Android nécessite un lecteur de codes-barres distinct pour scanner les codes QR. Vous devez également installer une application de lecture de codes-barres depuis votre magasin d'applications.

Étape 1 : Créer une stratégie personnalisée

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, sélectionnez Permissions > Policies.

3. Sur la page Policies, cliquez sur Create Policy.

4. Sur la page Create Policy, cliquez sur l'onglet JSON Editor.

   La page affiche un éditeur JSON. Le modèle de stratégie par défaut inclut un élément Version (défini sur "1") et un tableau Statement. Chaque instruction comprend les éléments Effect (par défaut "Allow"), Action, Resource et Condition. Vous devez renseigner les éléments Action et Resource.

5. Saisissez le document de stratégie.

   Exemple de stratégie : seuls les utilisateurs RAM ayant activé l'authentification MFA peuvent accéder aux ressources ECS dans la console. Vous pouvez mettre en œuvre cette restriction en utilisant l'élément Condition pour définir la valeur de acs:MFAPresent sur true.

   {
       "Statement": [
           {
               "Action": "ecs:*",
               "Effect": "Allow",
               "Resource": "*",
               "Condition": {
                   "Bool": {
                       "acs:MFAPresent": "true"
                   }
               }
           }
       ],
       "Version": "1"
   }

   Remarque

   L'élément Condition s'applique uniquement aux actions spécifiées dans cette stratégie d'autorisation. Vous pouvez modifier le document de stratégie pour restreindre l'accès à d'autres ressources cloud selon vos besoins.

6. En haut de la page, cliquez sur Optimize, puis sur Perform pour optimiser la stratégie de manière avancée.

   La fonctionnalité d'optimisation avancée des stratégies effectue les tâches suivantes :

   • Elle divise les ressources ou les conditions pour les actions incompatibles.

   • Elle réduit la portée des ressources.

   • Elle supprime les instructions en double ou fusionne les instructions.

7. Sur la page Create Policy, cliquez sur OK.

8. Dans la boîte de dialogue Create Policy, saisissez un policy name et une Description, puis cliquez sur OK.

Étape 2 : Créer un utilisateur RAM

1. Connectez-vous à la console RAM en utilisant votre compte Alibaba Cloud ou en tant qu'utilisateur RAM disposant d'autorisations administratives (un utilisateur auquel la stratégie AliyunRAMFullAccess est attachée).

2. Dans le volet de navigation de gauche, sélectionnez Identities > Users.

3. Sur la page Users, cliquez sur Create User.

4. Sur la page Create User, dans la section User Account Information, configurez les informations de base de l'utilisateur.

   • Logon Name (obligatoire) : jusqu'à 64 caractères. Les lettres, chiffres, points (.), tirets (-) et traits de soulignement (_) sont autorisés.

   • Display Name (facultatif) : le nom peut comporter jusqu'à 128 caractères.

   • Tag (facultatif) : cliquez sur , puis saisissez une clé de tag et une valeur de tag pour catégoriser et gérer les utilisateurs.
   Remarque

   Cliquez sur Add User pour créer plusieurs utilisateurs RAM en masse.

5. Dans la section Access Mode, sélectionnez un mode d'accès en fonction du type d'utilisateur.

   Important

   • Par mesure de sécurité, sélectionnez un seul mode d'accès par utilisateur afin de séparer l'accès humain via la console de l'accès programmatique par application. Si un utilisateur RAM a besoin à la fois de se connecter à la console et d'effectuer des appels API, vous pouvez sélectionner les deux modes d'accès. Après avoir sélectionné Permanent AccessKey, vous devez cocher la case I confirm that I must create an AccessKey pour continuer.

   • Une paire AccessKey divulguée compromet votre compte. Utilisez plutôt des jetons Security Token Service (STS) (identifiants temporaires) pour réduire les risques. Consultez la section Bonnes pratiques pour l'utilisation des identifiants d'accès lors des appels aux API Alibaba Cloud.

   Accès à la console

   Sélectionnez Console Access.

   • Set Logon Password : générez automatiquement un mot de passe ou définissez-en un personnalisé. Les mots de passe personnalisés doivent respecter les exigences de complexité configurées. Consultez la section Définir une stratégie de mot de passe pour les utilisateurs RAM.

   • Password Reset : spécifiez si l'utilisateur doit réinitialiser son mot de passe lors de sa prochaine connexion.

   • Enable MFA : l'authentification MFA est requise par défaut pour tous les utilisateurs. Pour modifier ce paramètre, consultez la section Gérer les paramètres de sécurité des utilisateurs RAM. Les utilisateurs doivent associer un dispositif MFA lors de leur première connexion. Consultez la section Associer un dispositif MFA.

   Accès programmatique

   Sélectionnez Permanent AccessKey.

   Le système crée automatiquement un AccessKey ID et un AccessKey secret pour l'utilisateur RAM.

   Important

   Le AccessKey secret n'est affiché qu'au moment de la création et ne peut pas être récupéré ultérieurement. Vous devez immédiatement télécharger ou copier et enregistrer le AccessKey secret. Une paire AccessKey divulguée compromet toutes les ressources de votre compte. Consultez la section Créer une paire AccessKey.

Étape 3 : Accorder des autorisations

Accordez la stratégie personnalisée que vous avez créée à l'étape Étape 1 à l'utilisateur RAM que vous avez créé à l'étape Étape 2.

1. Connectez-vous à la console RAM.

2. Dans le volet de navigation de gauche, sélectionnez Identities > Users.

3. Sur la page Users, localisez l'utilisateur RAM cible et cliquez sur la colonne Actions > Attach Policy.

   Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Attach Policy sous la liste des utilisateurs pour une autorisation par lot.

4. Dans le panneau Grant Permission, configurez les paramètres suivants :

   • Resource scope :

     • Account level : les autorisations s'appliquent à toutes les ressources de votre compte Alibaba Cloud.

     • Resource group level : les autorisations s'appliquent uniquement au sein du groupe de ressources spécifié. Après la connexion, l'utilisateur RAM doit basculer vers le groupe de ressources autorisé dans la barre de navigation supérieure.

       Remarque

       1. Le système marque les stratégies système à haut risque (telles que AdministratorAccess et AliyunRAMFullAccess) avec un indicateur d'avertissement. Ces stratégies accordent généralement un contrôle total sur toutes les ressources cloud ou une gestion complète de RAM. Accordez ces stratégies avec prudence.

       2. Pour des exemples d'autorisation de groupe de ressources, consultez la section Contrôler l'accès des utilisateurs RAM à des instances ECS spécifiques.

   • Principal :

     Le principal est l'utilisateur RAM qui reçoit les autorisations. Depuis la page Users, le système sélectionne automatiquement l'utilisateur actuel. Depuis la page Grants, vous devez sélectionner manuellement l'utilisateur. La sélection par lot est prise en charge.

   • Permission policy :

     • System policy : recherchez et sélectionnez. Filtrez par nom de produit (par exemple, ECS, OSS), niveau d'accès (par exemple, ReadOnly, FullAccess) ou nom complet de la stratégie. Par exemple, pour accorder des autorisations pour la gestion financière (dépenses et coûts), recherchez BSS pour trouver AliyunBSSFullAccess (accès complet à Billing and Cost Management) et d'autres stratégies liées aux finances.

       Le tableau suivant répertorie les noms des stratégies système pour les produits Alibaba Cloud couramment demandés afin de vous aider à trouver rapidement la bonne stratégie.

       Product	System policy name	Access level
       Billing and cost management (finance)	AliyunBSSFullAccess	Full access
       Cloud Monitor	AliyunCloudMonitorReadOnlyAccess	Read-only
       China Gateway (Website Builder)	AliyunWebsiteBuildFullAccess	Full access
       Alibaba Cloud DevOps	AliyunYunxiaoFullAccess	Full access
       Model Studio (Bailian)	AliyunBailianFullAccess	Full access
       Alibaba Cloud DNS	AliyunDNSFullAccess	Full access
       SSL Certificates Service	AliyunYundunCertFullAccess	Full access
       Cloud Phone	AliyunECDFullAccess	Full access
       Support Center	AliyunSupportFullAccess	Full access
       Resource Center	AliyunResourceCenterFullAccess	Full access
       AgentBay	AliyunAgentBayFullAccess	Full access
       Security Center	AliyunYundunSASFullAccess	Full access

       Si vous ne trouvez pas la stratégie pour votre produit cible, consultez la section Référence des stratégies système pour obtenir la liste complète, ou créez une stratégie personnalisée pour un contrôle d'accès granulaire.

     • Custom policy : vous devez Créer une stratégie personnalisée avant de pouvoir l'accorder.

     • Pagination limit for select all : la liste des stratégies est paginée. La sélection de tout s'applique uniquement à la page actuelle. Lorsque vous changez de page, les stratégies précédemment sélectionnées restent dans la liste des sélections, mais les stratégies de la nouvelle page ne sont pas automatiquement sélectionnées ; vous devez les sélectionner page par page.

     • Quickly grant administrator permissions : pour accorder des autorisations d'administrateur, recherchez AdministratorAccess dans la zone de recherche et sélectionnez-la directement, au lieu de sélectionner les stratégies page par page. La sélection de cette stratégie déclenche un avertissement d'autorisation à haut risque.

   • (Facultatif) Description : saisissez la raison de l'autorisation ou le scénario à des fins d'audit.

   • Cliquez sur Confirm.

5. Vérifiez le résultat de l'autorisation et cliquez sur Close.

Étape 4 : Activer l'authentification MFA

Activez l'authentification MFA pour l'utilisateur RAM que vous avez créé à l'étape Étape 2. Pour plus d'informations, consultez la section Associer un dispositif MFA à un utilisateur RAM.