Manage RAM user console logon settings - enable, modify, clear - Resource Access Management

Vue d'ensemble

Les paramètres de connexion à la console contrôlent l'accès des utilisateurs RAM à la console Alibaba Cloud, sans affecter l'accès programmatique via les AccessKeys.

Paramètres de connexion disponibles :

Paramètre

Description

Console Access

Contrôle si l'utilisateur RAM peut se connecter à la console Alibaba Cloud.

Set Logon Password

Définit ou réinitialise le mot de passe de connexion à la console.

Password Reset

Impose à l'utilisateur de modifier son mot de passe lors de sa prochaine connexion.

Enable MFA

Exige l'utilisation de l'authentification multifacteur (MFA) lors de la connexion.

Remarque

Si le SSO est activé pour l'utilisateur RAM, ces paramètres de connexion ne s'appliquent pas.

Activer la connexion à la console

Activez l'accès à la console et définissez un mot de passe pour l'utilisateur RAM.

Console

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez Identities > Users.
Sur la page Users, cliquez sur le nom de l'utilisateur RAM.
Sous l'onglet Authentication, dans la section Login Profile, cliquez sur Enable Console Logon.
Dans la boîte de dialogue Enable Console Logon, configurez les paramètres suivants :
- Console Access : Cliquez sur Enabled pour activer la connexion à la console.
- Set Logon Password : Sélectionnez Automatically Regenerate Default Password ou Reset Custom Password.
- Password Reset : Indiquez si une réinitialisation du mot de passe est requise lors de la prochaine connexion. Lors de la définition d'un mot de passe initial, sélectionnez Required at Next Logon pour éviter le partage de mot de passe.
- Enable MFA : Indiquez si l'authentification multifacteur (MFA) est requise. Si vous sélectionnez Required, l'utilisateur sera guidé dans la configuration de la MFA lors de sa prochaine connexion. Cette option est recommandée.
Cliquez sur OK.

API

Autorisation requise : ram:CreateLoginProfile.

Appelez CreateLoginProfile pour activer la connexion à la console et définir un mot de passe initial.

Afficher les paramètres de connexion à la console

Consultez le statut d'accès à la console, le mot de passe et les paramètres MFA d'un utilisateur RAM.

Console

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez Identities > Users.
Sur la page Users, cliquez sur le nom de l'utilisateur RAM.
Sous l'onglet Authentication, dans la section Login Profile, consultez le statut des paramètres de connexion suivants :
- Console Access : Indique si l'accès à la console est activé :
  - Unset : L'accès à la console n'a pas été activé.
  - Inactive : Un administrateur a désactivé l'accès à la console.
  - Active : Un administrateur a activé l'accès à la console.
- Last Logined Time : Dernière connexion réussie à la console. Utilisez cette information pour auditer les comptes inactifs.
- MFA Required : Indique si l'utilisateur doit effectuer une authentification multifacteur (MFA) lors de la connexion.
  Remarque
  L'authentification multifacteur (MFA) est requise lors de la connexion si l'une des conditions suivantes est remplie (par ordre de priorité décroissante) :
  - L'option Enforce for all users est sélectionnée dans la politique MFA globale de RAM (paramètre par défaut). Configurez cette option dans les paramètres d'authentification multifacteur.
  - L'authentification multifacteur (MFA) est requise dans les paramètres de connexion individuels de l'utilisateur RAM.
  - L'utilisateur a associé un dispositif MFA (numéro de téléphone de sécurité ou dispositif MFA virtuel).
  Si aucune de ces conditions ne s'applique, l'utilisateur est invité à associer un dispositif MFA à chaque connexion, mais il peut ignorer cette étape.
- Reset Password On Next Sign-in : Indique si l'utilisateur doit réinitialiser son mot de passe lors de sa prochaine connexion.
- Password Status : Indique le statut actuel du mot de passe. Les valeurs de statut sont définies dans Qu'est-ce qu'un mot de passe initial et quelle est sa période de validité ?.
  - Initial Password Available : Le mot de passe initial est valide. L'utilisateur peut se connecter avec ce mot de passe.
  - Initial Password Expired : Le mot de passe initial a expiré. L'utilisateur ne peut pas se connecter avec ce mot de passe.
  - Not Initial Password : Il ne s'agit pas d'un mot de passe initial. L'expiration suit uniquement la politique d'expiration des mots de passe, et non la période de validité du mot de passe initial.
- Console Sign-in : Lien de connexion à la console de l'utilisateur RAM. Disponible une fois l'accès à la console activé.

API

Autorisation requise : ram:GetLoginProfile.

Appelez GetLoginProfile pour afficher les paramètres de connexion à la console d'un utilisateur RAM.

Modifier les paramètres de connexion à la console

Mettez à jour le statut d'accès, le mot de passe ou les paramètres MFA d'un utilisateur RAM.

Console

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez Identities > Users.
Sur la page Users, cliquez sur le nom de l'utilisateur RAM.
Sous l'onglet Authentication, dans la section Login Profile, cliquez sur Modify Logon Settings.
Dans la boîte de dialogue Modify Logon Settings, modifiez les paramètres de connexion.
- Console Access : Cliquez sur Disabled pour désactiver la connexion à la console.
  Important
  
  La désactivation de l'accès à la console force la déconnexion de l'utilisateur RAM et de tous les rôles assumés.
  
  La désactivation de la connexion à la console empêche également la connexion basée sur les passkeys.
- Les autres paramètres sont identiques à ceux décrits dans la section Activer la connexion à la console.
Cliquez sur OK.

API

Autorisation requise : ram:UpdateLoginProfile.

Appelez UpdateLoginProfile pour modifier les paramètres de connexion à la console d'un utilisateur.

Effacer les paramètres de connexion à la console

Supprimez définitivement les informations de connexion à la console d'un utilisateur RAM, y compris le mot de passe.

Avertissement

L'effacement des informations de connexion à la console est irréversible.
L'effacement des paramètres de connexion à la console force la déconnexion de l'utilisateur et de tous les rôles assumés.

Console

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez Identities > Users.
Sur la page Users, cliquez sur le nom de l'utilisateur RAM.
Sous l'onglet Authentication, dans la section Login Profile, cliquez sur Remove Logon Settings.
Dans la boîte de dialogue de confirmation Remove Logon Settings, cliquez sur OK.

API

Autorisation requise : ram:DeleteLoginProfile.

Appelez DeleteLoginProfile pour effacer les paramètres de connexion à la console d'un utilisateur.

Remarque

L'effacement des paramètres de connexion à la console n'affecte pas les passkeys, les liaisons MFA ni les AccessKeys.

Bonnes pratiques de sécurité

Imposer l'authentification multifacteur (MFA) : Imposez l'authentification multifacteur (MFA) pour tous les utilisateurs de la console ; il s'agit de l'une des mesures de sécurité les plus efficaces.
Exiger la réinitialisation du mot de passe initial : Sélectionnez Require password reset lors de la définition des mots de passe initiaux pour éviter le partage de mots de passe.
Séparer l'accès à la console et l'accès par API : Désactivez la connexion à la console pour les comptes qui nécessitent uniquement un accès par API (CI/CD, applications) afin de réduire la surface d'attaque.
Auditer régulièrement les comptes : Vérifiez l'heure de dernière connexion et désactivez ou supprimez les comptes inactifs.

FAQ

Quelle est la différence entre la désactivation de l'accès et l'effacement des paramètres ?

La désactivation est réversible et conserve le mot de passe ainsi que les autres paramètres de connexion. L'effacement est irréversible et supprime toutes les informations de connexion.

La désactivation de la connexion à la console affecte-t-elle l'accès via AccessKey ?

Non. La connexion à la console et l'accès par API sont indépendants. Pour empêcher l'utilisation des AccessKeys, désactivez l'AccessKey séparément.

Que deviennent les sessions actives lorsque les mots de passe sont modifiés ou que la connexion est désactivée ?

Toutes les sessions actives de la console et les sessions de rôles assumés sont immédiatement terminées. L'utilisateur doit se reconnecter.

Un utilisateur RAM peut-il réinitialiser son propre mot de passe ?

Seul un administrateur RAM peut réinitialiser le mot de passe de connexion à la console d'un utilisateur RAM. Modifiez le mot de passe d'un utilisateur en tant qu'administrateur RAM.

Comment trouver l'heure de dernière connexion d'un utilisateur ?

Vérifiez le Last Login Time dans la section Login Information sous l'onglet Authentication.

Appelez GetLoginProfile via l'API pour obtenir LastLoginTime.

Console : Sur la page des détails de l'utilisateur, accédez à l'onglet Authentication. Dans la section Login Profile, consultez l'heure de dernière connexion de l'utilisateur.
API : Appelez l'API GetLoginProfile. La réponse inclut le champ LastLoginTime.

Qu'est-ce qu'un mot de passe initial et quelle est sa période de validité ?

Afin de réduire les risques de sécurité liés aux utilisateurs RAM inutilisés depuis longtemps — tels que les compromissions de mots de passe entraînant des menaces sur les ressources, des coûts imprévus ou des attaques par rançongiciel — RAM introduit le mécanisme de « mot de passe initial », effectif à partir du 26 janvier 2026. Les mots de passe répondant à certains critères sont marqués comme « mot de passe initial » avec une période de validité par défaut de 14 jours. Si l'utilisateur ne se connecte pas avec succès pour la première fois durant cette période, le mot de passe expire automatiquement et doit être réinitialisé par un administrateur (annonce officielle).

Un mot de passe est considéré comme initial si l'une des conditions suivantes s'applique :

Création initiale : Le premier mot de passe de connexion à la console défini pour un utilisateur RAM, qu'il soit généré automatiquement ou personnalisé.
Réactivation : Le mot de passe défini pour un utilisateur après que ses paramètres de connexion à la console ont été effacés puis réactivés.
Réinitialisation avant la première connexion : Si un administrateur réinitialise un mot de passe initial avant que l'utilisateur ne se connecte avec, le nouveau mot de passe est toujours considéré comme un mot de passe initial. La période de validité est recalculée à partir du moment de la réinitialisation.

Les périodes de validité des mots de passe initiaux et réguliers s'appliquent toutes deux, et c'est la période la plus courte qui prend effet. Ajustez la période de validité du mot de passe initial dans la politique globale de mot de passe RAM. Maintenez-la inférieure ou égale à la période de validité régulière.

Comment vérifier le statut du mot de passe initial ?

Sur la page des détails de l'utilisateur, accédez à l'onglet Authentication et repérez la section Login Profile. Vérifiez le statut du mot de passe. Si le statut indique Initial password expired, l'utilisateur ne peut pas se connecter et un administrateur doit réinitialiser le mot de passe.