Resource Access Management:Manage permissions for VPC

Informations générales

Vous pouvez accorder des autorisations VPC aux utilisateurs RAM en utilisant des politiques système ou en créant vos propres politiques personnalisées.

• Politiques système : RAM fournit des politiques à l'échelle du système pour les cas d'utilisation courants. Pour VPC, celles-ci incluent :

  • AliyunVPCFullAccess : Accorde des autorisations administratives complètes pour toutes les ressources VPC.

  • AliyunECSReadOnlyAccess : Accorde des autorisations en lecture seule pour toutes les ressources VPC.

• Politiques personnalisées : Si les politiques système sont trop larges, créez des politiques personnalisées pour accorder des autorisations granulaires. Cela vous permet de restreindre l'accès à des ressources ou actions spécifiques en fonction de vos exigences de sécurité.

Procédure

Pour accorder des autorisations VPC à un utilisateur RAM, suivez ces étapes générales :

1. Créez un utilisateur RAM auquel vous accorderez des autorisations.

2. Créez une politique personnalisée qui définit les autorisations VPC spécifiques. Pour plus d'informations, consultez la section suivante.

3. Attachez la politique personnalisée à l'utilisateur RAM.

Exemples de politiques

• Exemple 1 : Accorder l'autorisation de gérer tous les VPC

  La politique suivante accorde à un utilisateur RAM l'autorisation de gérer toutes les ressources VPC au sein du compte Alibaba Cloud 123456789012. Elle inclut également un accès en lecture seule aux ressources Elastic Compute Service (ECS), ce qui peut fournir le contexte nécessaire lors de l'utilisation des VPC dans la console.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*"
        ],
        "Resource": [
          "acs:vpc:*:1234567:*/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "ecs:*Describe*"
        ],
        "Resource": [
          "*"
        ]
      }
    ]
  }

• Exemple 2 : Accorder l'autorisation de gérer des vSwitch dans une région spécifique

  La politique suivante accorde à un utilisateur RAM l'autorisation de gérer des vSwitch et des tables de routage dans la région Chine (Qingdao). L'utilisateur RAM reçoit également des autorisations en lecture seule pour les ressources VPC dans toutes les autres régions, ce qui lui permet de consulter mais pas de modifier ces ressources.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*Describe*",
          "vpc:*VSwitch*",
          "vpc:*RouteTable*"
        ],
        "Resource": [
          "acs:vpc:cn-qingdao:*:*/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*Describe*"
        ],
        "Resource": [
          "*"
        ]
      }
    ]
  }

• Exemple 3 : Accorder l'autorisation de gérer des tables de routage dans une région spécifique

  La politique suivante accorde à un utilisateur RAM l'autorisation de gérer des entrées de routage et des tables de routage dans la région Chine (Hangzhou). La politique inclut également des autorisations en lecture seule pour les ressources ECS, Server Load Balancer (SLB) et ApsaraDB RDS (RDS). Ces autorisations sont souvent nécessaires pour qu'un utilisateur RAM effectue efficacement des tâches de gestion réseau, car elles fournissent un contexte sur les services connectés au VPC.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ecs:*Describe*"
        ],
        "Resource": [
          "*"
        ],
        "Condition": {}
      },
      {
        "Effect": "Allow",
        "Action": [
          "slb:*Describe*"
        ],
        "Resource": [
          "*"
        ],
        "Condition": {}
      },
      {
        "Effect": "Allow",
        "Action": [
          "rds:*Describe*"
        ],
        "Resource": [
          "*"
        ],
        "Condition": {}
      },
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*Describe*",
          "vpc:*RouteEntry*",
          "vpc:*RouteTable*"
        ],
        "Resource": [ 
          "acs:vpc:cn-hangzhou:1234567:*/*"
        ],
        "Condition": {}
      }
    ]
  }

• Exemple 4 : Accorder l'autorisation de gérer des routes dans une table de routage spécifique

  La politique suivante accorde à un utilisateur RAM l'autorisation de gérer des entrées de routage au sein d'une table de routage spécifique (vtb-m5e64ujkb7xn5zlq0xxxx). Il s'agit d'un exemple d'autorisations au niveau des ressources. L'utilisateur RAM reçoit également un accès en lecture seule à toutes les ressources VPC et ECS pour le contexte.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*RouteEntry*"
        ],
        "Resource": [
          "acs:vpc:cn-qingdao:*:routetable/vtb-m5e64ujkb7xn5zlq0xxxx"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*Describe*"
        ],
        "Resource": [
          "*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "ecs:*Describe*"
        ],
        "Resource": [
          "*"
        ]
      }
    ]
  }