Accorder, afficher et révoquer les autorisations des utilisateurs RAM - Alibaba Cloud - Resource Access Management

Concepts clés

Avant d'accorder des autorisations, familiarisez-vous avec les concepts suivants :

Types de politiques d'autorisation

Une permission policy est un ensemble de droits d'accès. Le service RAM prend en charge deux types de politiques. Vous pouvez attacher plusieurs politiques à un utilisateur RAM simultanément. Appliquez toujours le principe du moindre privilège.
- System policy : politiques prédéfinies par Alibaba Cloud, telles que AliyunECSReadOnlyAccess (accès en lecture seule à ECS) et AliyunOSSFullAccess (accès complet à OSS). Consultez la Référence des politiques système pour obtenir la liste complète.
- Custom policy : politique que vous créez pour répondre à des besoins granulaires que les politiques système ne peuvent pas satisfaire. Vous devez Créer une politique personnalisée avant de pouvoir l'attribuer. Pour les autorisations liées aux achats, consultez la section Quelles autorisations un utilisateur RAM doit-il avoir pour acheter des ressources ?.
Comportement et limites des autorisations
- Prise d'effet immédiate : les autorisations sont appliquées instantanément. Aucun délai d'attente ni reconnexion n'est nécessaire.
- Limites quantitatives : chaque utilisateur RAM dispose d'un nombre maximal de politiques système et personnalisées pouvant être attachées. Pour plus de détails, consultez la section Limites.
- Contraintes liées aux groupes de ressources : vérifiez que le service cloud cible, l'opération et le type de ressource prennent en charge l'autorisation au niveau du groupe de ressources. Pour plus de détails, consultez la section Services cloud prenant en charge l'autorisation au niveau du groupe de ressources.

Accorder des autorisations à un utilisateur RAM

Si vous n'avez pas encore créé d'utilisateur RAM, suivez les instructions de la section Opérations de base. Une fois l'utilisateur créé, appliquez le principe du moindre privilège et n'accordez que les autorisations strictement nécessaires à ses tâches.

Console

La console RAM propose deux points d'entrée, tous deux compatibles avec l'autorisation unique et par lot :

Page Users : le principal est automatiquement sélectionné selon les utilisateurs que vous choisissez. Idéal pour les workflows centrés sur les utilisateurs.
Page Grants : vous sélectionnez manuellement les principaux et pouvez consulter tous les enregistrements d'autorisation de votre compte. Idéal pour les workflows centrés sur les autorisations.

Remarque

Conseil : pour une gestion à grande échelle, ajoutez les utilisateurs RAM ayant les mêmes responsabilités à un groupe d'utilisateurs, puis accordez les autorisations au groupe. Accédez à Identities > User Groups pour gérer les groupes.

Depuis la page Users

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, accédez à Identities > Users.
Sur la page Users, localisez l'utilisateur RAM cible et cliquez sur la colonne Actions > Attach Policy.

Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Attach Policy sous la liste des utilisateurs pour une autorisation par lot.

Dans le panneau Grant Permission, configurez les paramètres suivants :

Resource scope :
- Account level : les autorisations s'appliquent à toutes les ressources de votre compte Alibaba Cloud.
- Resource group level : les autorisations s'appliquent uniquement au sein du groupe de ressources spécifié. Après la connexion, l'utilisateur RAM doit basculer vers le groupe de ressources autorisé dans la barre de navigation supérieure.
  Remarque
  1. Le système signale les politiques système à haut risque (telles que AdministratorAccess et AliyunRAMFullAccess) par un indicateur d'avertissement. Ces politiques accordent généralement un contrôle total sur toutes les ressources cloud ou une gestion complète du service RAM. Accordez ces politiques avec prudence.
  2. Pour des exemples d'autorisation au niveau du groupe de ressources, consultez la section Contrôler l'accès des utilisateurs RAM à des instances ECS spécifiques.
Principal :

Le principal est l'utilisateur RAM qui reçoit les autorisations. Depuis la page Users, le système sélectionne automatiquement l'utilisateur actuel. Depuis la page Grants, vous devez sélectionner manuellement l'utilisateur. La sélection multiple est prise en charge.

Permission policy :

System policy : recherchez et sélectionnez. Filtrez par nom de produit (par exemple, ECS, OSS), par niveau d'accès (par exemple, ReadOnly, FullAccess) ou par nom complet de la politique. Par exemple, pour accorder des autorisations de gestion financière (dépenses et coûts), recherchez BSS afin de trouver AliyunBSSFullAccess (accès complet à Billing and Cost Management) et d'autres politiques liées aux finances.

Le tableau suivant répertorie les noms des politiques système pour les produits Alibaba Cloud couramment demandés, afin de vous aider à trouver rapidement la politique appropriée.

Produit

Nom de la politique système

Niveau d'accès

Gestion de la facturation et des coûts (finance)

AliyunBSSFullAccess

Accès complet

Cloud Monitor

AliyunCloudMonitorReadOnlyAccess

Lecture seule

China Gateway (Website Builder)

AliyunWebsiteBuildFullAccess

Accès complet

Alibaba Cloud DevOps

AliyunYunxiaoFullAccess

Accès complet

Model Studio (Bailian)

AliyunBailianFullAccess

Accès complet

Alibaba Cloud DNS

AliyunDNSFullAccess

Accès complet

SSL Certificates Service

AliyunYundunCertFullAccess

Accès complet

Cloud Phone

AliyunECDFullAccess

Accès complet

Support Center

AliyunSupportFullAccess

Accès complet

Resource Center

AliyunResourceCenterFullAccess

Accès complet

AgentBay

AliyunAgentBayFullAccess

Accès complet

Security Center

AliyunYundunSASFullAccess

Accès complet

Si vous ne trouvez pas la politique correspondant à votre produit cible, consultez la Référence des politiques système pour obtenir la liste complète, ou créez une politique personnalisée pour un contrôle d'accès granulaire.

Custom policy : vous devez Créer une politique personnalisée avant de pouvoir l'attribuer.
Limite de pagination pour « Tout sélectionner » : la liste des politiques est paginée. L'option « Tout sélectionner » s'applique uniquement à la page actuelle. Lorsque vous changez de page, les politiques précédemment sélectionnées restent dans la liste de sélection, mais celles de la nouvelle page ne sont pas automatiquement sélectionnées ; vous devez les sélectionner page par page.
Accorder rapidement les autorisations d'administrateur : pour accorder les droits d'administrateur, recherchez AdministratorAccess dans la zone de recherche et sélectionnez-la directement, au lieu de choisir les politiques page par page. La sélection de cette politique déclenche un avertissement d'autorisation à haut risque.

(Facultatif) Description : saisissez la raison ou le scénario d'autorisation à des fins d'audit.
Cliquez sur Confirm.

Vérifiez le résultat de l'autorisation et cliquez sur Close.

Depuis la page Grants

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, accédez à Permissions > Grants.
Sur la page Grants, cliquez sur Grant Permission.
Dans le panneau Grant Permission, sélectionnez le principal et configurez les mêmes paramètres que décrits ci-dessus.
Vérifiez le résultat de l'autorisation et cliquez sur Close.

Remarque

Les utilisateurs RAM créés via la fonctionnalité Quick Start sur la page d'accueil de la console RAM reçoivent automatiquement la politique système correspondante en fonction du scénario sélectionné, sans nécessiter d'autorisation manuelle :

Super user : reçoit automatiquement la politique PowerUserAccess. Cet utilisateur peut gérer les services cloud et les ressources, mais ne peut pas gérer les identités RAM et leurs autorisations, les annuaires de ressources ni les comptes de facturation.
Account administrator : reçoit automatiquement la politique AdministratorAccess. Cet utilisateur peut gérer toutes les ressources Alibaba Cloud, y compris les identités et les autorisations RAM.

N'utilisez ces options que lorsque des privilèges de super administrateur sont réellement nécessaires. Pour les opérations courantes, appliquez le principe du moindre privilège et n'accordez que les autorisations requises pour la tâche spécifique.

OpenAPI

Accorder une custom policy

Appelez CreatePolicy pour créer une custom policy. Pour la syntaxe des politiques, consultez les sections Éléments des politiques d'autorisation et Présentation des exemples de politiques.
Appelez AttachPolicyToUser pour accorder la politique au niveau du account level (définissez PolicyType sur Custom).

Vous pouvez également appeler AttachPolicy pour accorder la politique au niveau du resource group level.

Accorder une system policy

Appelez AttachPolicyToUser pour attacher la politique système à l'utilisateur RAM (définissez PolicyType sur System). Pour connaître les valeurs disponibles de PolicyName, consultez la section Référence des politiques système.
Vous pouvez également appeler AttachPolicy pour accorder la politique au niveau du resource group level.

Afficher les autorisations des utilisateurs RAM

Console

Important

La page Grants (Permissions > Grants dans le volet de navigation de gauche) affiche l'historique des opérations d'autorisation — c'est-à-dire les enregistrements des attributions ou révocations de politiques. Elle n'affiche pas les autorisations effectives actuelles d'un utilisateur RAM. Si vous avez récemment accordé des autorisations mais ne les trouvez pas sur la page Grants, ou si vous avez besoin de la liste complète des autorisations actuelles d'un utilisateur, accédez à la page de détails de l'utilisateur et cliquez sur l'onglet Permissions comme décrit dans les étapes suivantes. L'onglet Permissions affiche à la fois les autorisations individuelles et celles héritées des groupes d'utilisateurs.

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, accédez à Identities > Users.
Sur la page Users, cliquez sur le nom de l'utilisateur RAM cible.
Cliquez sur l'onglet Permissions pour afficher les sections Individual et Group Permissions.

Remarque

Pour évaluer l'utilisation réelle des autorisations (dernière heure d'accès, politiques inactives ou accès excessifs), consultez l'onglet Permission Audit (Beta) sur la page de détails de l'utilisateur, ou la section Access Analysis sur la page d'accueil du service RAM.

OpenAPI

Appelez ListPoliciesForUser pour interroger la liste des autorisations au niveau du compte pour un utilisateur RAM spécifié. Cette opération ne renvoie pas les autorisations au niveau du groupe de ressources.

Révoquer les autorisations des utilisateurs RAM

Remarque

Important : avant de révoquer des autorisations, consultez l'onglet Permission Audit (Beta) pour vérifier la dernière date d'utilisation, ou examinez la section Access Analysis sur la page d'accueil du service RAM afin d'identifier les politiques inactives. Cela permet d'éviter de supprimer accidentellement des autorisations actives.

Console

Deux points d'entrée sont disponibles :

Page Users : révoquez les politiques depuis la page de détails de l'utilisateur. Idéal pour un nettoyage centré sur les utilisateurs.
Page Grants : révoquez depuis la liste complète des enregistrements d'autorisation. Idéal pour un nettoyage centré sur les autorisations.

Depuis la page Users

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, accédez à Identities > Users.
Sur la page Users, cliquez sur le nom de l'utilisateur RAM cible.
Cliquez sur l'onglet Permissions. Dans la section Individual, localisez la politique cible et cliquez sur la colonne Actions > Revoke Permission.
Dans la boîte de dialogue Revoke Permission, confirmez les détails du Principal et de la Permission Policy, puis cliquez sur Revoke Permission.

Depuis la page Grants

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, accédez à Permissions > Grants.
Sur la page Grants, cliquez sur la colonne Actions > Revoke Permission pour l'enregistrement d'autorisation cible.

Vous pouvez également sélectionner plusieurs enregistrements et cliquer sur Revoke Permission sous la liste pour une révocation par lot.
Dans la boîte de dialogue Revoke Permission, cliquez sur Revoke Permission.

OpenAPI

Appelez DetachPolicyFromUser pour révoquer une politique d'autorisation spécifiée d'un utilisateur RAM.

Bonnes pratiques de sécurité

Appliquez le principe du moindre privilège. N'accordez que les autorisations minimales requises pour la tâche.
1. Exemple 1 : Gérer des instances ECS spécifiques
  - Incorrect : accorder AdministratorAccess ou AliyunECSFullAccess.
  - Correct : créez une politique personnalisée qui restreint le champ Resource à des ID d'instance spécifiques. Pour un exemple, consultez la section Autoriser la gestion d'une instance ECS spécifique.
2. Exemple 2 : Toutes les autorisations sauf la facturation
  - Incorrect : accorder AdministratorAccess.
  - Correct : créez une politique personnalisée avec une instruction de refus explicite pour "Action": "bss:*","bssapi:*","efc:*" "Effect": "Deny". Pour un exemple, consultez la section Autoriser la gestion de toutes les ressources sauf la facturation.
Auditez régulièrement les autorisations. Utilisez la section Governance Detection sur la page d'accueil du service RAM pour identifier les AccessKeys inutilisés depuis 90 jours et les utilisateurs RAM inactifs. Utilisez la section Access Analysis (Beta) pour détecter les identités disposant de privilèges excessifs.
Utilisez les politiques à haut risque avec prudence. N'accordez AliyunRAMFullAccess et les politiques similaires que lorsque cela est nécessaire (par exemple, pour les administrateurs RAM) et surveillez toutes les opérations effectuées par ces utilisateurs.
Privilégiez les rôles RAM pour les accès temporaires. Pour les autorisations à court terme (pipelines CI/CD, accès intercomptes ou opérations tierces), créez un rôle RAM et utilisez STS pour émettre des informations d'identification temporaires plutôt que d'attacher des politiques de longue durée aux utilisateurs RAM. Les informations d'identification temporaires expirent automatiquement.

Limitations des notifications de messages pour les utilisateurs RAM

Un utilisateur RAM ne peut pas recevoir les notifications de facturation au niveau du compte, telles que les alertes de quota et les rappels de facturation. Par défaut, les notifications de facturation sont envoyées uniquement aux contacts du compte Alibaba Cloud, et les destinataires ne peuvent pas être modifiés.

Sur la page Basic Notification Settings du Message Center, les canaux de notification (internal message, SMS et email) ainsi que les destinataires des notifications de facturation du compte sont verrouillés, et toutes les commandes de modification (Edit, Batch Edit Rules et Save) sont désactivées.

Solutions de contournement

Demandez au compte Alibaba Cloud de se connecter régulièrement à la console et de vérifier les notifications de facturation dans le Message Center.
Pour les notifications autres que la facturation (telles que les product notifications et les event notifications), le compte Alibaba Cloud peut cliquer sur Edit pour le type de notification correspondant sur la page Basic Notification Settings du Message Center, modifier les règles de notification dans l'onglet Message Recipients, ou ajouter des contacts via le lien Address and Contacts.
Pour permettre à un utilisateur RAM d'utiliser le Message Center, le compte Alibaba Cloud doit lui accorder l'autorisation AliyunConsoleFullAccess.

FAQ

Un utilisateur RAM peut-il afficher ses propres autorisations ?

Non. Par défaut, les utilisateurs RAM ne peuvent pas afficher leur propre liste de politiques d'autorisation. Solutions de contournement :

Test d'accès : tentez l'action souhaitée. Une erreur « insufficient permissions » indique l'absence d'autorisations.
Contactez votre administrateur : demandez au propriétaire du compte Alibaba Cloud ou à un utilisateur RAM disposant de AliyunRAMFullAccess de vérifier depuis la console RAM.

Un utilisateur RAM peut-il acheter des produits cloud ?

Oui, si l'utilisateur a reçu les autorisations d'achat requises. Consultez la section Quelles autorisations un utilisateur RAM doit-il avoir pour acheter des ressources ?.

Les limites de dépenses individuelles ou la facturation séparée pour les utilisateurs RAM ne sont pas prises en charge. Tous les frais sont consolidés sous le compte Alibaba Cloud.

Comment accorder des autorisations temporaires et révocables à un utilisateur RAM ?

N'attachez pas de politiques de longue durée pour des besoins temporaires. Créez plutôt un rôle RAM avec les autorisations requises, puis demandez à l'utilisateur RAM d'appeler AssumeRole via STS pour obtenir des informations d'identification limitées dans le temps. Pour plus de détails, consultez la section Endosser un rôle RAM.

Les informations d'identification temporaires expirent automatiquement. Cette approche convient bien aux pipelines CI/CD, à la délégation intercomptes et aux opérations tierces.

Comment résoudre les erreurs « permission denied » pour un utilisateur RAM ?

Accédez à Permissions > Permission Diagnosis dans la console RAM. Collez le texte chiffré de diagnostic (AccessDeniedDetail.EncodedDiagnosticMessage issu de la réponse d'erreur) ou l'ID de requête, puis cliquez sur Start Diagnosis. Le système décode la raison du refus — y compris la politique correspondante, la condition ou le refus explicite — pour vous aider à identifier le problème.

Consultez la section Résoudre les erreurs d'accès refusé.

Que faire si je reçois une erreur LimitExceeded.User.Policy lors de l'attribution d'autorisations à un utilisateur RAM ?

Cette erreur se produit lorsque l'utilisateur RAM a atteint le nombre maximal de politiques d'autorisation pouvant être attachées. Par défaut, chaque utilisateur RAM peut avoir jusqu'à 20 politiques système et 20 politiques personnalisées attachées. Pour connaître les valeurs actuelles des quotas, consultez la section Limites.

Pour résoudre ce problème, essayez une ou plusieurs des approches suivantes :

Consolidez les politiques : supprimez les politiques redondantes ou inutiles. Par exemple, une politique d'accès complet (telle que AliyunECSFullAccess) inclut déjà toutes les autorisations de la politique en lecture seule correspondante (AliyunECSReadOnlyAccess), il n'est donc pas nécessaire de conserver les deux. Vous pouvez également fusionner plusieurs politiques système en une seule politique personnalisée afin de réduire le nombre total.
Utilisez des groupes d'utilisateurs : ajoutez les utilisateurs RAM ayant les mêmes responsabilités à un groupe d'utilisateurs et accordez les autorisations au groupe plutôt qu'aux utilisateurs individuels. Les autorisations héritées d'un groupe d'utilisateurs ne comptent pas dans le quota d'attachement de politiques de l'utilisateur individuel.
Demandez une augmentation de quota : accédez au Quota Center et recherchez « Maximum number of system policies that can be attached to a RAM user » ou « Maximum number of custom policies that can be attached to a RAM user » pour soumettre une demande d'augmentation de quota.