Create a RAM role for a trusted Alibaba Cloud account - Resource Access Management

Les rôles RAM dont l'entité de confiance est un compte Alibaba Cloud permettent l'accès inter-comptes et l'autorisation temporaire. Un utilisateur RAM ou un rôle RAM du compte de confiance peut endosser ce rôle pour accéder à vos ressources.

Procédure

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, sélectionnez Identities > Roles.
Sur la page Roles, cliquez sur Create Role.
Sur la page Create Role, définissez le paramètre Principal Type sur Cloud Account, spécifiez les détails du compte Alibaba Cloud, puis cliquez sur OK.
- Current Account : sélectionnez cette option pour autoriser tous les utilisateurs RAM et rôles RAM du compte Alibaba Cloud actuel à endosser le rôle. Sélectionnez Current Account.
- Other Account : sélectionnez cette option pour autoriser tous les utilisateurs RAM et rôles RAM d'un autre compte Alibaba Cloud à endosser le rôle. Sélectionnez Other Account et saisissez l'ID de l'autre compte Alibaba Cloud (compte principal). Cette option est principalement utilisée pour l'accès aux ressources inter-comptes. Pour plus d'informations, consultez la rubrique Accéder aux ressources entre comptes Alibaba Cloud.Vous pouvez trouver l'ID de votre compte Alibaba Cloud (compte principal) sur la page .
(Facultatif) Pour restreindre le rôle à des utilisateurs RAM ou des rôles RAM spécifiques, cliquez sur Switch to Policy Editor afin de modifier la politique de confiance.

L'éditeur prend en charge deux modes : Visual Editor et JSON Editor. Dans l'exemple suivant, le rôle RAM ne peut être endossé que par l'utilisateur RAM AliceAlice du compte Alibaba Cloud actuel (AccountID=1000719).
- Visual Editor
  
  Dans la section Principal, ajoutez l'utilisateur RAM.
  
  Cliquez sur le lien Edit situé à côté de Cloud Account et saisissez l'ID du compte de confiance.
  
  Dans la boîte de dialogue Add Principal, sélectionnez Current Account pour Cloud Account et RAM user pour Identity Type. Saisissez le nom d'utilisateur cible, par exemple Alice, dans le champ User Name, puis cliquez sur OK.
- JSON Editor
  
  Dans le champ RAMRAM de l'objet PrincipalPrincipal, saisissez l'ARN complet de l'utilisateur RAM.
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "RAM": "acs:ram::100******0719:user/Alice"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```
Dans la boîte de dialogue Create Role, saisissez un Role Name, puis cliquez sur OK.

Étapes suivantes

Accordez des autorisations au rôle RAM.

Un nouveau rôle RAM ne dispose d'aucune autorisation par défaut. Vous devez lui accorder des autorisations avant de pouvoir l'utiliser. Pour obtenir des instructions, consultez la rubrique Gérer les autorisations d'un rôle RAM.
Utilisez le rôle RAM.

Une entité du compte de confiance peut endosser ce rôle via la console ou en appelant une API pour obtenir un jeton de sécurité temporaire (jeton STS), puis accéder à vos ressources autorisées. Pour des instructions détaillées, consultez la rubrique Endosser un rôle RAM.