Resource Access Management:Accéder aux ressources entre les comptes Alibaba Cloud

Scénarios

La société A exploite son activité sur plusieurs services Alibaba Cloud, tels que des instances ECS, des instances ApsaraDB RDS, des instances SLB et des compartiments OSS. La société A souhaite :

• Déléguer les opérations et la gestion des ressources à la société B.

• Éviter de modifier les autorisations lors de l'arrivée ou du départ des employés de la société B. La société B peut accorder indépendamment à ses employés et applications un accès granulaire aux ressources de la société A.

• Révoquer l'autorisation accordée à la société B à tout moment en cas de rupture du contrat.

Solution

Supposons que la société A dispose du compte Alibaba Cloud A (A@company-a.onaliyun.com) et que la société B dispose du compte Alibaba Cloud B (B@company-b.onaliyun.com). Un rôle RAM permet au compte B d'accéder aux ressources du compte A.

• Dans le compte A, créez un rôle RAM qui fait confiance à toutes les identités RAM du compte B et accordez-lui les autorisations requises, telles que la gestion d'ECS. Dans le compte B, créez un utilisateur RAM et accordez-lui l'autorisation d'assumer le rôle. Le compte A définit l'entité de confiance et les autorisations du rôle, tandis que le compte B contrôle les utilisateurs RAM habilités à assumer le rôle.

  Pour plus d'informations, consultez la section Accorder des autorisations entre les comptes Alibaba Cloud .

• Lorsque le partenariat prend fin, le compte A révoque l'autorisation du compte B à assumer le rôle RAM. Après la révocation, aucun utilisateur RAM du compte B ne peut assumer le rôle ni accéder aux ressources du compte A.

  Pour plus d'informations, consultez la section Révoquer les autorisations entre les comptes Alibaba Cloud.

Accorder des autorisations entre les comptes Alibaba Cloud

1. Dans le compte A, créez un rôle RAM en spécifiant le compte B comme entité de confiance.

   1. Connectez-vous à la console RAM avec le compte A.

   2. Sur la page Roles, créez un rôle RAM.

      Pour Principal Type, sélectionnez Cloud Account. Pour Principal Name, sélectionnez Other Account et saisissez l'ID du compte B. Pour plus d'informations, consultez les sections Créer un rôle RAM pour un compte Alibaba Cloud de confiance et Modifier les informations de base d'un compte.

2. Depuis le compte A, accordez des autorisations au rôle RAM.

   Sur la page Roles ou la page Grants, attachez une stratégie système ou une stratégie personnalisée au rôle RAM. Respectez le principe du moindre privilège et n'accordez que les autorisations nécessaires. Par exemple, si vous souhaitez que le rôle RAM gère des instances ECS, attachez la stratégie système AliyunECSFullAccess. Pour plus d'informations, consultez la section Gérer les autorisations d'un rôle RAM.

3. Dans le compte B, créez un utilisateur RAM.

   1. Connectez-vous à la console RAM avec le compte B.

   2. Sur la page Users, créez un utilisateur RAM.

      Pour plus d'informations, consultez la section Créer un utilisateur RAM.

4. Dans le compte B, accordez à l'utilisateur RAM l'autorisation d'assumer le rôle.

   Sur la page Users ou la page Grants, attachez la stratégie système AliyunSTSAssumeRoleAccess à l'utilisateur RAM. Pour plus d'informations, consultez la section Gérer les autorisations des utilisateurs RAM.

5. Un utilisateur RAM du compte B peut accéder aux ressources autorisées du compte A en assumant le rôle.

   Vous pouvez assumer le rôle de l'une des manières suivantes :

   • Assumer un rôle RAM dans la console

     Une fois connecté à la console, l'utilisateur peut assumer le rôle RAM en choisissant Switch Identity.

   • Assumer un rôle RAM à l'aide de l'API

     L'utilisateur RAM appelle l'opération API AssumeRole avec une paire AccessKey pour obtenir un jeton STS pour le rôle RAM.

Révoquer les autorisations entre les comptes Alibaba Cloud

Le compte A peut révoquer l'autorisation du compte B à assumer le rôle RAM en utilisant l'une des méthodes suivantes :

• Modifier la politique de confiance du rôle RAM

  1. Connectez-vous à la console RAM avec le compte A.

  2. Sur la page Roles, modifiez la politique de confiance du rôle.

     Modifiez le champ Principal pour révoquer la confiance accordée au compte B. Pour plus d'informations, consultez la section Modifier la politique de confiance d'un rôle RAM.

     La politique de confiance est au format JSON. Le tableau RAM sous Principal contient les ARN des principaux de confiance au format acs:ram::<AccountUID>:root. Pour révoquer la confiance, recherchez et supprimez l'entrée ARN correspondant au compte B.

• Supprimer le rôle RAM

  1. Connectez-vous à la console RAM avec le compte A.

  2. Sur la page Roles, supprimez le rôle RAM.

     La suppression d'un rôle RAM entraîne également la suppression des autorisations qui lui sont attachées. Pour plus d'informations, consultez la section Supprimer un rôle RAM.