Resource Access Management:Vue d'ensemble des rôles RAM

Qu'est-ce qu'un rôle RAM ?

Un rôle RAM est un type d'identité RAM auquel sont attachées des politiques. Contrairement à un utilisateur RAM, un rôle n'est lié ni à une personne ni à une application spécifique : toute entité de confiance peut l'endosser. Les rôles ne disposent d'aucun identifiant permanent, tel qu'un mot de passe ou une paire AccessKey. Lorsqu'une entité endosse un rôle, le Security Token Service (STS) génère des identifiants de sécurité temporaires, valables uniquement pour la durée de cette session.

Chaque rôle RAM est une ressource de votre compte dotée d'un Alibaba Cloud Resource Name (ARN) unique : acs:ram::<account-id>:role/<role-name>. Utilisez cet ARN pour référencer le rôle dans les politiques ou les appels API. Pour trouver l'ARN d'un rôle, consultez la rubrique Afficher un rôle RAM.

Concepts clés

Avant d'utiliser des rôles RAM, assurez-vous de bien comprendre les concepts suivants.

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": [
          "acs:ram::123456789012****:root"
        ]
      }
    }
  ],
  "Version": "1"
}

Session de rôle

Lorsqu'une entité endosse un rôle, elle initie une session de rôle. Les identifiants temporaires STS sont liés à cette session et toutes les actions effectuées avec ces identifiants lui sont attribuées.

Une session de rôle comprend :

1. Nom de session (RoleSessionName) : identifiant de session fourni par l'utilisateur. Il apparaît dans les journaux ActionTrail, ce qui permet de retracer les actions jusqu'à l'entité ayant endossé le rôle.

2. Durée de session : cycle de vie fixe ; les identifiants expirent à la fin de la session.

Chaînage de rôles

Le chaînage de rôles se produit lorsqu'un rôle est utilisé pour en endosser un autre. Par exemple, un utilisateur RAM endosse le rôle A, puis utilise son jeton STS pour endosser le rôle B. Les rôles peuvent se trouver dans le même compte ou dans des comptes différents.

Ce schéma est courant dans les environnements multi-comptes. Par exemple, un développeur se connecte via la fédération à un compte central de rebond (rôle A), puis endosse un rôle privilégié (rôle B) dans un compte de production pour effectuer une tâche spécifique.

Utilisez la CLI Alibaba Cloud, les SDK ou la console pour chaîner les rôles. Consultez la rubrique Utiliser le chaînage de rôles.

Différences entre les rôles RAM et les utilisateurs RAM

Les rôles et les utilisateurs sont tous deux des identités RAM, mais ils répondent à des objectifs différents.

Pour connaître les limitations relatives aux rôles RAM, consultez la rubrique Limitations.

Cas d'utilisation

• Octroi de privilèges élevés temporaires

  Un développeur disposant d'autorisations limitées au quotidien endosse un rôle doté de privilèges administratifs pour effectuer une opération sensible, telle que la modification d'une base de données de production. Une fois la tâche accomplie, les privilèges reviennent à l'ensemble limité, appliquant ainsi le principe du moindre privilège.

  Consultez la rubrique Méthodes pour endosser un rôle RAM.

• Délégation d'accès entre comptes

  Une organisation dispose de comptes Alibaba Cloud distincts pour le développement (compte A) et la production (compte B). Pour permettre à un pipeline CI/CD s'exécutant dans le compte A de déployer une application sur ECS dans le compte B, procédez comme suit :

  1. Créez un rôle dans le compte B qui fait confiance au compte A.

  2. Accordez au rôle de service CI/CD dans le compte A l'autorisation d'endosser ce rôle dans le compte B.

  3. Le pipeline CI/CD endosse le rôle dans le compte B pour obtenir les identifiants nécessaires au déploiement de l'application.

  Consultez la rubrique Accès aux ressources inter-comptes.

• Octroi d'accès aux services Alibaba Cloud

  Une application s'exécutant sur une instance ECS doit lire des données depuis un bucket OSS. Au lieu d'intégrer une paire AccessKey, créez un rôle de service avec des autorisations de lecture et attachez-le à l'instance. L'application utilise les identifiants temporaires fournis automatiquement pour accéder à OSS.

  Pour plus d'informations, consultez la rubrique Rôles RAM d'instance.

• Fourniture d'accès aux utilisateurs fédérés

  Votre entreprise utilise un IdP externe (tel que Microsoft Entra ID ou Okta). Configurez la fédération d'identités avec SAML 2.0 ou OIDC et créez un rôle RAM qui fait confiance à l'IdP. Les utilisateurs authentifiés endossent le rôle pour accéder à Alibaba Cloud, permettant ainsi une gestion centralisée des utilisateurs sans créer d'utilisateurs RAM individuels.

  Consultez les rubriques Vue d'ensemble de l'authentification unique basée sur les rôles avec SAML et Vue d'ensemble de l'authentification unique basée sur les rôles avec OIDC.

Références

• Limitations

• Rôles liés au service

• Vue d'ensemble des politiques d'accès

• Vue d'ensemble de l'authentification unique basée sur les rôles avec SAML

• Rôles RAM pour les instances ECS

• Accéder à Alibaba Cloud depuis une application mobile à l'aide d'un jeton STS