En tant qu'administrateur, vous pouvez consulter et interpréter les détails d'un utilisateur RAM, modifier ses informations de base et gérer ses tags dans la console Resource Access Management (RAM).
Consulter les informations d'un utilisateur RAM
Lors d'un audit des permissions, du dépannage d'un problème d'accès ou d'une opération d'administration courante, il est indispensable de disposer d'une vue claire sur l'identité de chaque utilisateur RAM. Vous devez également connaître ses paramètres de sécurité, son appartenance aux groupes, ses permissions et son historique d'activité.
Console
Connectez-vous à la console RAM avec votre compte Alibaba Cloud ou en tant qu'utilisateur RAM disposant de la politique
AliyunRAMFullAccess.Dans le volet de navigation de gauche, choisissez Identities > Users.
Sur la page Users, cliquez sur le nom de l'utilisateur RAM cible pour ouvrir sa page de détails.
-
La page de détails regroupe les modules suivants, répartis sur différentes sections et onglets :
Module
Contenu et objectif
Opérations associées
Basic Information
Nom de connexion, nom d'affichage, ID utilisateur, date de création et autres attributs d'identité.
Authentication
Paramètres de connexion à la console, clés d'accès (passkeys) et configuration MFA.
AccessKey
Paires d'AccessKey et corbeille des AccessKey.
Groups
Tous les groupes auxquels appartient l'utilisateur, ce qui facilite le suivi des permissions héritées.
Permissions
Toutes les politiques de permissions attachées. Cliquez sur le nom d'une politique pour en consulter les détails et la portée.
Events
Historique catégorisé des opérations importantes de l'utilisateur (événements de connexion, modifications de politiques, opérations sur les clés). Le filtrage est pris en charge.
Consultation et filtrage uniquement. Aucune modification de configuration n'est possible.
Policy Access Beta
Si cette fonctionnalité est activée, elle affiche une analyse des accès récents de l'utilisateur aux services cloud. Elle permet d'identifier les limites de permissions et de détecter les schémas d'accès anormaux.
OpenAPI
|
Module de la console |
Contenu ou objectif |
Opération OpenAPI |
|
Basic Information |
Nom de connexion, nom d'affichage, UID, date de création. |
|
|
Authentication |
Paramètres de connexion à la console, passkeys, paramètres MFA et AccessKey. |
Paramètres de connexion : GetLoginProfile Passkeys : ListPasskeys MFA : ListVirtualMFADevices |
|
AccessKey |
Paires d'AccessKey et corbeille des AccessKey. |
|
|
Groups |
Tous les groupes auxquels appartient l'utilisateur, ce qui facilite le suivi des permissions héritées. |
|
|
Permissions |
Toutes les politiques de permissions attachées. Cliquez sur le nom d'une politique pour en consulter les détails et la portée. |
|
|
Events |
Historique catégorisé des opérations importantes de l'utilisateur (événements de connexion, modifications de politiques, opérations sur les clés). Le filtrage est pris en charge. |
Non pris en charge via OpenAPI. |
|
Policy Access Beta |
Si cette fonctionnalité est activée, elle affiche une analyse des accès récents de l'utilisateur aux services cloud. Elle permet d'identifier les limites de permissions et de détecter les schémas d'accès anormaux. |
Non pris en charge via OpenAPI. |
Vous pouvez également interroger les informations de tous les utilisateurs RAM en une seule fois :
ListUsers : renvoie les informations détaillées de tous les utilisateurs RAM.
ListUserBasicInfos : renvoie uniquement le nom de connexion
UserPrincipalName, le nom d'affichageDisplayNameet l'ID utilisateurUserIdde tous les utilisateurs RAM.
Référence des champs utilisateur
Le tableau suivant décrit les champs de la page de détails de l'utilisateur et indique s'ils sont modifiables.
|
Champ de la console |
Champ API |
Description |
Modifiable |
|
User Login Name |
UserPrincipalName |
L'identifiant que l'utilisateur saisit pour se connecter à la console. Il est défini lors de la création de l'utilisateur. |
Oui |
|
Display Name |
DisplayName |
Nom lisible ou alias affiché dans les listes d'utilisateurs et l'en-tête de la console. |
Oui |
|
Description |
Comments |
Notes complémentaires concernant l'utilisateur. |
Oui |
|
User ID |
UserId |
Identifiant numérique unique attribué par le système. |
Non |
|
Provision Type |
ProvisionType |
Indique si l'utilisateur a été créé manuellement, synchronisé via SCIM ou provisionné par CloudSSO. |
Non |
|
Created At |
CreateDate |
Horodatage de la création initiale de l'utilisateur. Utile pour la gestion du cycle de vie. |
Non |
|
Tags |
Tags |
Paires clé-valeur personnalisées permettant de catégoriser les utilisateurs (par exemple, service, projet, matricule). |
Oui |
Les utilisateurs RAM sont créés par un administrateur dans la console RAM, et non inscrits par eux-mêmes. Par conséquent, aucun champ « e-mail d'inscription » n'existe. Le champ Email, qui apparaît lorsque vous développez Show other information, correspond à une adresse e-mail de contact et peut être modifié. Le champ Security Email de la section MFA Information sert à la vérification de l'authentification multifacteur (MFA). Aucun de ces deux champs ne constitue un e-mail d'inscription. Les utilisateurs RAM se connectent à la console à l'aide de leur Logon Name (UserPrincipalName), et non d'une adresse e-mail.
Modifier les informations de base d'un utilisateur RAM
Lorsque les responsabilités d'un utilisateur changent, que les projets évoluent ou que les politiques de sécurité sont mises à jour, vous devez mettre à jour son profil.
Impact de cette opération
La modification du nom de connexion (UserPrincipalName) ou du nom d'affichage (DisplayName) d'un utilisateur RAM n'a aucune incidence sur ses paires d'AccessKey existantes. En effet, les paires d'AccessKey sont indépendantes du nom de connexion. Après la modification du nom de connexion, les paires d'AccessKey existantes restent valides ; il est inutile de les recréer ou de les mettre à jour.
Console
Connectez-vous à la console RAM avec votre compte Alibaba Cloud ou en tant qu'utilisateur RAM disposant de la politique
AliyunRAMFullAccess.Dans le volet de navigation de gauche, choisissez Identities > Users.
Sur la page Users, cliquez sur le nom de l'utilisateur RAM cible.
Dans la section Basic Information, cliquez sur Edit.
Dans le panneau Modify Basic Information, mettez à jour le Logon Name, le Display Name ou la Description selon vos besoins, puis cliquez sur OK.
OpenAPI
Appelez UpdateUser pour modifier les informations de base d'un utilisateur RAM.
Gérer les tags d'un utilisateur
Les tags simplifient la gestion des permissions et la répartition des coûts. Voici leurs principaux avantages :
Contrôle d'accès granulaire : mettez en œuvre un contrôle d'accès basé sur les attributs (ABAC). Par exemple, autorisez les utilisateurs portant le tag
project:Aà accéder uniquement aux ressources qui possèdent également le tagproject:A.Opérations automatisées : utilisez des API ou des outils CLI pour filtrer les utilisateurs par tag et exécuter des opérations par lot, comme l'ajout de politiques ou la désactivation de comptes.
Modifier les tags d'un utilisateur unique
Pour gérer les tags de manière centralisée sur tous les types de ressources, accédez à la console Tag Management.
Console
Connectez-vous à la console RAM avec votre compte Alibaba Cloud ou en tant qu'utilisateur RAM disposant de la politique
AliyunRAMFullAccess.Dans le volet de navigation de gauche, choisissez Identities > Users.
Dans la liste des utilisateurs RAM, passez la souris sur l'icône
située dans la colonne Tags de l'utilisateur cible, puis cliquez sur Edit.-
Dans la boîte de dialogue Edit Tags, saisissez une clé et une valeur de tag, puis cliquez sur OK.
RemarqueChaque utilisateur RAM accepte au maximum 20 tags.
OpenAPI
Appelez TagResources pour ajouter des tags à un utilisateur RAM. Définissez les paramètres suivants :
Définissez
ResourceTypesuruser.Définissez
ResourceIdsur l'ID de l'utilisateur RAM, ou définissezResourcePrincipalNamesur le logon name de l'utilisateur RAM. Spécifiez l'un de ces deux paramètres, mais pas les deux simultanément.
Définir des tags par lot
La console RAM prend en charge les opérations par lot sur les tags, ce qui permet d'ajouter ou d'écraser de manière incrémentielle les valeurs de tags pour plusieurs utilisateurs. Ces opérations par lot ne dissocient pas les tags existants. Pour gérer les tags de manière centralisée, accédez à la console Tag Management.
Connectez-vous à la console RAM avec votre compte Alibaba Cloud ou en tant qu'utilisateur RAM disposant de la politique
AliyunRAMFullAccess.Dans le volet de navigation de gauche, choisissez Identities > Users.
Dans la liste des utilisateurs RAM, sélectionnez plusieurs utilisateurs cibles.
Sous la liste des utilisateurs, cliquez sur Edit Tags.
Dans la boîte de dialogue Batch Set Tags, saisissez une clé et une valeur de tag, puis cliquez sur OK.