Resource Management:Overview

Scénarios

Lorsqu'une entreprise regroupe l'ensemble de ses départements au sein d'un annuaire de ressources, elle doit pouvoir appliquer des règles à l'échelle de l'organisation, telles que l'interdiction de l'enregistrement de domaines ou de la suppression des journaux, sans dépendre de l'autorégulation de chaque département. Control Policy permet au compte de gestion de définir des politiques de contrôle d'accès de manière centralisée et de les associer aux dossiers ou aux membres de l'annuaire de ressources, garantissant ainsi la conformité en matière de sécurité et le contrôle des coûts dans toute l'organisation.

Types de politiques de contrôle d'accès

• System access control policy

  Resource Directory fournit une politique de contrôle d'accès système intégrée : FullAliyunAccess. Cette politique autorise toutes les opérations sur toutes les ressources cloud et est automatiquement associée à chaque dossier et membre lorsque vous activez Control Policy. Vous pouvez la consulter, mais vous ne pouvez ni la créer, ni la modifier, ni la supprimer.

• Custom access control policy

  Vous créez et gérez les politiques de contrôle d'accès personnalisées. Après avoir créé une politique, associez-la aux dossiers ou aux membres concernés. Dissociez-la lorsqu'elle n'est plus nécessaire.

Fonctionnement

1. Activez Control Policy à l'aide du compte de gestion de votre annuaire de ressources. Pour plus d'informations, consultez la rubrique Activer la stratégie de contrôle.

   Une fois Control Policy activé, le système associe FullAliyunAccess à tous les dossiers et membres par défaut. Cela permet d'éviter les échecs d'accès pendant que vous configurez des politiques personnalisées.

2. Créez une politique de contrôle d'accès personnalisée à l'aide du compte de gestion. Pour plus d'informations, consultez la rubrique Créer une stratégie de contrôle personnalisée.

3. Associez la politique aux dossiers ou aux membres. Pour plus d'informations, consultez la rubrique Associer une stratégie de contrôle d'accès personnalisée.

   Les politiques associées à un dossier s'appliquent automatiquement à tous ses sous-dossiers et membres. Par exemple, si la politique A est associée à un dossier et la politique B à l'un de ses sous-dossiers, les deux politiques s'appliquent à tous les membres de ce sous-dossier.

   Remarque

   Commencez par associer une politique de contrôle d'accès personnalisée à un petit nombre de dossiers ou de membres afin de vérifier son bon fonctionnement avant de la déployer plus largement.

4. Lorsqu'un utilisateur RAM ou un rôle RAM d'un compte membre effectue une demande d'accès, le système évalue cette demande par rapport à toutes les politiques de contrôle d'accès associées, en parcourant la hiérarchie de l'annuaire de ressources du membre vers le haut :

   • L'évaluation commence au niveau du membre propriétaire de la ressource cible et remonte niveau par niveau à travers les dossiers parents.

   • Si une instruction Deny correspond, l'évaluation s'arrête immédiatement et la demande est refusée, sans vérifier les autorisations de l'utilisateur ou du rôle RAM.

   • Si aucune instruction Deny ou Allow ne correspond à aucun niveau, la demande est refusée.

   • Si aucune instruction Deny ne correspond mais qu'une instruction Allow correspond, l'évaluation se poursuit jusqu'au dossier Root. Une fois le dossier Root validé, le système vérifie les autorisations de l'utilisateur ou du rôle RAM. Pour plus d'informations, consultez la rubrique Processus d'évaluation des stratégies.

   • Les politiques de contrôle d'accès ne s'appliquent pas aux rôles liés aux services. Pour plus d'informations sur les rôles liés aux services, consultez la rubrique Rôles liés aux services.

   • Les politiques associées à un dossier s'appliquent à tous les membres de ce dossier et de tous ses sous-dossiers.

   Important

   Les politiques de contrôle s'appliquent à tous les principaux RAM (utilisateurs et rôles) au sein d'un compte membre, mais ne s'appliquent pas au propriétaire de ce compte ni aux principaux du compte de gestion de Resource Directory.

Autoriser certains services Alibaba Cloud à contourner une politique de contrôle d'accès personnalisée

Les politiques de contrôle d'accès personnalisées restreignent l'accès aux ressources pour les membres auxquels elles sont associées. Étant donné que les services Alibaba Cloud utilisent souvent des rôles de service pour accéder aux ressources du compte en votre nom, une politique personnalisée qui refuse les autorisations requises peut perturber le fonctionnement de ces services. Pour exclure un rôle de service d'une politique, mettez à jour celle-ci en incluant une condition qui exempte le rôle.

1. Recherchez le nom du rôle de service utilisé par le service que vous souhaitez exempter.

   Connectez-vous à la console RAM pour afficher tous les rôles de service de votre compte.

2. Ajoutez la clé "acs:PrincipalARN" au paramètre Condition dans le document de stratégie, puis définissez sa valeur sur le nom du rôle de service. L'exemple suivant refuse l'action ram:UpdateUser pour tous les principaux, à l'exception du rôle de service spécifié :

   {
       "Statement": [
           {
               "Action": [
                   "ram:UpdateUser"
               ],
               "Resource": "*",
               "Effect": "Deny",         
               "Condition": {
                   "StringNotLike": {
                       "acs:PrincipalARN":"acs:ram:*:*:role/<Name of the service role>"
                  }
              }
           }
       ],
       "Version": "1"
   }

   Pour plus d'informations sur la syntaxe des politiques de contrôle d'accès, consultez la rubrique Langage des stratégies de contrôle d'accès.

Limites

Pour plus d'informations, consultez la rubrique Limites des annuaires de ressources.

Services Alibaba Cloud qui ne prennent pas en charge la fonctionnalité Control Policy

• Microservices Engine (MSE) prend en charge la fonctionnalité Control Policy pour une version spécifique du moteur.

  Pour plus d'informations sur les versions du moteur MSE, consultez la rubrique Fonctionnalités par édition.

• Les applications et clusters suivants dans ApsaraMQ for RocketMQ ne prennent pas en charge la fonctionnalité Control Policy :

  • L'application mq-http ne prend pas en charge la fonctionnalité Control Policy.

  • L'application onsbroker ne prend pas en charge la fonctionnalité Control Policy dans les régions suivantes :

    • Émirats arabes unis (Dubaï).

    • Chine (Shanghai) : les clusters sh-share9 et shvip-st21ujm8f01 de cette région ne prennent pas en charge la fonctionnalité Control Policy.

    • Chine du Nord 2 Ali Gov 1 : les clusters beijing.gov.vip.v0h0ovmfp02, beijing.gov.vip.nif1zmrlf02 et vip-cn-north-2-gov-1-45914plw301 de cette région ne prennent pas en charge la fonctionnalité Control Policy.