Utilisez CloudSSO et Resource Directory pour mettre en place une gestion centralisée des identités et un contrôle d'accès sur plusieurs comptes Alibaba Cloud.
Objectif
CloudSSO s'intègre à Resource Directory pour offrir une gestion centralisée des identités et un contrôle d'accès multi-comptes. L'administrateur CloudSSO crée des utilisateurs, définit des configurations d'accès regroupant des autorisations et les provisionne aux membres d'un annuaire de ressources, le tout depuis une interface unique. Les utilisateurs CloudSSO se connectent ensuite au portail utilisateur, où ils consultent la liste des membres accessibles et basculent vers chacun d'eux avec les autorisations attribuées.
Ce tutoriel détaille une configuration complète basée sur les entités suivantes :
Utilisateur : user1 (nouvel utilisateur CloudSSO)
Configuration d'accès : configuration accordant la stratégie système AliyunVPCFullAccess
Membre cible : Sandbox Account (membre de l'annuaire de ressources)
À l'issue de ce tutoriel, user1 pourra se connecter au portail utilisateur CloudSSO et accéder uniquement aux ressources Virtual Private Cloud (VPC) du compte Sandbox Account.
Prérequis
Avant de commencer, vérifiez que vous disposez des éléments suivants :
-
Un annuaire de ressources activé, avec les comptes Alibaba Cloud requis ajoutés en tant que membres.
Pour plus d'informations, consultez les rubriques Présentation de Resource Directory et Activer Resource Directory.
-
CloudSSO activé et annuaire CloudSSO créé.
Pour plus d'informations, consultez les rubriques Qu'est-ce que CloudSSO, Activer CloudSSO et Créer l'annuaire CloudSSO.
Un utilisateur RAM disposant de la stratégie AliyunCloudSSOFullAccess attachée, au sein du compte de gestion de l'annuaire de ressources. Seul le compte de gestion ou cet utilisateur RAM peut effectuer les opérations décrites dans ce tutoriel.
La création d'un nouveau compte dans un annuaire de ressources n'associe automatiquement aucun rôle de service ni aucune autorisation par défaut à ce compte. Lorsqu'un utilisateur CloudSSO se connecte, les autorisations disponibles dans un compte membre dépendent entièrement de la configuration d'accès créée dans CloudSSO et provisionnée pour ce compte. Sans configuration d'accès provisionnée, l'utilisateur CloudSSO ne peut accéder à aucune ressource du compte membre.
Configurer l'accès centralisé
Connectez-vous à la console CloudSSO.
-
Créez un utilisateur CloudSSO.
Dans cet exemple, créez un utilisateur nommé user1.
Pour plus d'informations, consultez la rubrique Créer un utilisateur.
-
Activez la connexion par nom d'utilisateur et mot de passe pour l'utilisateur CloudSSO.
Pour plus d'informations, consultez la rubrique Activer la connexion par nom d'utilisateur et mot de passe.
-
Créez une configuration d'accès.
Une configuration d'accès définit les autorisations dont bénéficient les utilisateurs CloudSSO lorsqu'ils accèdent à un compte membre. Sans configuration d'accès, les utilisateurs peuvent se connecter au portail mais ne peuvent accéder à aucune ressource. Dans cet exemple, la configuration d'accès inclut uniquement la stratégie système AliyunVPCFullAccess, sans stratégies inline.
Pour plus d'informations, consultez les rubriques Présentation des configurations d'accès et Créer un ensemble d'autorisations.
-
Accordez à user1 l'accès au compte Sandbox Account.
Autorisez user1 à accéder aux ressources VPC du compte Sandbox Account en lui provisionnant la configuration d'accès.
Pour plus d'informations, consultez la rubrique Attribuer l'accès à un compte membre.
-
Vérifiez l'accès en tant que user1.
Connectez-vous au portail utilisateur CloudSSO avec le nom d'utilisateur et le mot de passe de user1.
Sélectionnez Sandbox Account dans la liste des membres.
Accédez aux ressources VPC du compte Sandbox Account en utilisant le rôle RAM attribué.
Pour plus d'informations, consultez la rubrique Accéder aux ressources via le portail utilisateur CloudSSO.
Étapes suivantes
Répétez les étapes ci-dessus pour créer d'autres utilisateurs CloudSSO, définir des configurations d'accès avec différentes étendues d'autorisations et les provisionner à d'autres membres de l'annuaire de ressources. Vous gérez ainsi les identités et les autorisations de tous les comptes Alibaba Cloud depuis un point unique.
Pour optimiser la gestion des accès, synchronisez les utilisateurs depuis un fournisseur d'identité externe (IdP) et permettez-leur d'accéder aux comptes membres via l'authentification unique (SSO). Pour plus d'informations, consultez la rubrique Qu'est-ce que CloudSSO
FAQ
Que faire en cas d'erreur NotSupport.AliyunReservedRole lors de la configuration de l'accès CloudSSO avec Terraform ?
Cette erreur survient car l'opération cible un AliyunReservedRole, c'est-à-dire un rôle réservé d'Alibaba Cloud. Les rôles réservés ne prennent pas en charge les modifications d'autorisations effectuées directement via les opérations API de Resource Management.
Pour résoudre ce problème, configurez un rôle standard de l'annuaire de ressources pour l'utilisateur CloudSSO via la console CloudSSO ou Terraform, plutôt que d'utiliser le rôle réservé. Si vous devez limiter l'étendue des autorisations (par exemple, pour autoriser l'accès uniquement à des groupes de ressources ou des ressources spécifiques), modifiez la configuration d'accès provisionnée pour l'utilisateur au lieu de modifier le rôle réservé lui-même.