Resource Access Management:Rôle lié au service

Vue d'ensemble

Un rôle lié au service (SLR) est un type de rôle RAM prédéfini par Alibaba Cloud pour permettre l'accès inter-services. Il présente les caractéristiques suivantes :

• Lié à un service cloud spécifique : un SLR est un type spécial de rôle RAM associé à un service Alibaba Cloud particulier.

• Utilisable uniquement par le service lié : seul le service Alibaba Cloud auquel il est lié peut endosser un SLR. Aucune autre identité ne peut l'utiliser.

• Prédéfini par Alibaba Cloud : le rôle, ses autorisations et sa politique d'approbation (qui spécifie le service cloud pouvant endosser le rôle) sont tous prédéfinis par le service cloud associé.

• Sans maintenance : aucune configuration ni maintenance manuelle d'un SLR n'est requise.

Avantages

Sans les SLR, vous devez créer manuellement des rôles RAM et configurer les politiques d'autorisation et d'approbation chaque fois qu'un service cloud doit accéder à un autre. Cette approche est source d'erreurs et peut entraîner des pannes de service ou des risques de sécurité. Les SLR résolvent ces problèmes :

• Simplification de l'autorisation inter-services. Par exemple, Cloud Config a besoin d'une autorisation pour lire les informations de vos ressources cloud, telles que les listes de ressources et les configurations, afin de générer des rapports de conformité. Cela nécessite un accès à d'autres services cloud comme ECS et RDS. En créant et en endossant un SLR, Cloud Config obtient les autorisations requises.

• Réduction de la complexité de configuration et des risques opérationnels. La politique d'autorisation d'un SLR est prédéfinie par le service cloud associé pour accorder uniquement les autorisations minimales nécessaires. Cela élimine la configuration manuelle des autorisations, renforçant ainsi la sécurité et la stabilité opérationnelle.

Fonctionnement

L'exemple suivant utilise Cloud Config pour illustrer le fonctionnement des SLR :

1. Alibaba Cloud prédéfinit le rôle lié au service : Alibaba Cloud prédéfinit un rôle lié au service pour Cloud Config, nommé AliyunServiceRoleForConfig. Ce rôle comprend :

   • Une politique d'approbation qui permet uniquement à config.aliyuncs.com d'endosser le rôle, garantissant que seul le service Cloud Config peut l'utiliser.

   • Une politique d'autorisation qui accorde des autorisations pour lire les informations des ressources à partir de services cloud tels que ECS et RDS.

2. Cloud Config endosse le rôle : lorsque Cloud Config doit lire les informations de vos ressources cloud pour générer un rapport de conformité, il endosse son rôle lié au service afin d'obtenir des informations d'identification de sécurité temporaires.

3. Cloud Config accède à d'autres services cloud : Cloud Config utilise l'identité et les autorisations du rôle lié au service pour accéder en toute sécurité à d'autres services cloud comme ECS et RDS afin de lire les listes de ressources et les configurations.

4. Tâche terminée : après avoir obtenu les informations requises sur les ressources cloud, Cloud Config génère le rapport de conformité.

Cloud Config peut ainsi accéder en toute sécurité à d'autres services sans que vous ayez à configurer manuellement des politiques d'autorisation.

Rôles liés aux services comparés aux rôles de service

Comme les rôles de service, les SLR sont endossés par un service cloud pour obtenir les autorisations nécessaires. Toutefois, leur utilisation diffère :

Autorisations requises

Un utilisateur RAM a besoin d'autorisations spécifiques pour créer ou supprimer un SLR. Ces autorisations sont généralement incluses dans la politique d'administrateur pour le service cloud correspondant, telle que AliyunResourceDirectoryFullAccess. Si un utilisateur RAM dispose des autorisations d'administrateur pour un service cloud, il peut généralement créer un SLR pour ce service.

Vous pouvez également créer une politique personnalisée pour accorder à un utilisateur RAM des autorisations de gestion des SLR pour un service spécifique. La valeur de ram:ServiceName est répertoriée dans la colonne Cloud Service Identifier de la rubrique Services cloud prenant en charge les rôles liés aux services.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceLinkedRole",
        "ram:DeleteServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "resourcemanager.aliyuncs.com"
        }
      }
    }
  ]
}

Création d'un rôle lié au service

• Créé par un service cloud : dans la plupart des cas, un service cloud crée automatiquement un rôle lié au service lorsque vous effectuez une action spécifique, comme la création d'une ressource cloud ou l'activation d'une fonctionnalité. Le service peut également inviter un administrateur à autoriser la création du rôle. Pour plus de détails sur la création automatique de SLR, consultez la documentation du service cloud correspondant dans la rubrique Services cloud prenant en charge les rôles liés aux services.

• Créé manuellement : vous pouvez également créer manuellement un rôle lié au service. Pour obtenir des instructions, consultez la rubrique Créer un rôle lié au service.

Suppression d'un rôle lié au service

• Supprimé par un service cloud : un service cloud supprime automatiquement son rôle lié au service associé lorsque vous effectuez une action spécifique, comme la suppression de toutes les ressources associées ou la désactivation d'une fonctionnalité.

• Supprimé manuellement : vous pouvez également supprimer manuellement un rôle lié au service. Pour obtenir des instructions, consultez la rubrique Supprimer un rôle RAM. Avant de supprimer manuellement un SLR, Resource Access Management (RAM) vérifie si le rôle est encore utilisé par des ressources cloud :

  • Si le rôle n'est pas utilisé, la suppression réussit.

  • Si le rôle est toujours utilisé, la suppression échoue. Le message d'erreur indique quelles ressources cloud utilisent le rôle. Vous devez supprimer ces ressources avant de pouvoir supprimer le rôle. Les conditions de suppression des SLR varient selon le service cloud. Pour plus de détails, consultez la documentation du service cloud spécifique dans la rubrique Services cloud prenant en charge les rôles liés aux services.

Endossement d'un rôle lié au service

Seul le service cloud lié peut endosser un rôle lié au service. D'autres identités, telles que les utilisateurs RAM ou d'autres rôles RAM, ne peuvent pas endosser le SLR.

Surveillance des rôles liés aux services

Vous pouvez utiliser ActionTrail pour auditer le cycle de vie et l'utilisation des SLR.

• Recherche par nom d'événement :

  • CreateServiceLinkedRole : interrogez les événements de création des SLR.

  • DeleteServiceLinkedRole : interrogez les événements de suppression des SLR.

  • AssumeRole : recherchez les événements où un service cloud a endossé un SLR. Dans les détails de l'événement, la section userIdentity contient le nom du service cloud et requestParameters contient l'ARN du SLR endossé. Exemple :

    {
      ...
      "requestParameters": {
        ...
        "RoleArn": "acs:ram::ACCOUNT_ID:role/aliyunservicerolefortag",
        "RoleSessionName": "tag_operate",
      },
      ...
      "userIdentity": {
        ...
        "principalId": "tag.aliyuncs.com",
        "userName": "tag.aliyuncs.com"
      },
      "eventName": "AssumeRole"
    }
    

• Recherche par type d'événement :

  Définissez le type d'événement sur AliyunServiceEvent et filtrez par Operator Name en utilisant un nom de SLR. Cela affiche les opérations effectuées par ce SLR.

FAQ