Une fois que vous avez créé un membre dans un annuaire de ressources ou invité un compte Alibaba Cloud à rejoindre l'annuaire en tant que membre, vous pouvez permettre à ce membre de se connecter à la console Alibaba Cloud en utilisant l'une des méthodes suivantes.
Méthodes de connexion
|
Méthode de connexion |
Description |
S'applique à |
|
Une identité (par exemple, un utilisateur RAM) du compte de gestion assume temporairement le rôle ResourceDirectoryAccountAccessRole d'un compte membre pour y accéder. Cette approche permet un contrôle d'accès centralisé sans nécessiter d'identifiants distincts pour chaque compte membre. |
|
|
|
Après avoir obtenu un accès initial à un compte membre (par exemple, en assumant un rôle), créez un utilisateur RAM dédié au sein de ce compte membre pour une connexion directe. |
||
|
Pour les membres qui sont des comptes cloud, connectez-vous directement à la console en utilisant le nom d'utilisateur et le mot de passe du compte Alibaba Cloud. |
Comptes Alibaba Cloud invités à rejoindre un annuaire de ressources. Ces membres sont des comptes cloud. |
|
|
CloudSSO fournit une gestion centralisée des identités et un contrôle d'accès pour plusieurs comptes au sein d'un annuaire de ressources. Après avoir activé CloudSSO et accordé des autorisations à un membre, un utilisateur CloudSSO peut se connecter au portail utilisateur CloudSSO et accéder aux ressources du membre selon la configuration d'accès. |
Utilisateurs CloudSSO |
Procédure
Se connecter en tant que rôle RAM
-
Créez un utilisateur RAM dans le compte de gestion et accordez-lui des autorisations.
Connectez-vous à la console RAM avec le compte de gestion.
-
Créez un utilisateur RAM.
Dans cet exemple, le nom d'utilisateur RAM est Alice. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM.
-
Accordez des autorisations à l'utilisateur RAM (Alice).
Vous devez attacher les stratégies suivantes à l'utilisateur RAM (Alice) :
AliyunSTSAssumeRoleAccess : autorisation d'appeler l'opération AssumeRole du service Security Token Service (STS). Si vous devez basculer du compte de gestion vers un compte membre, vous devez accorder cette autorisation à l'utilisateur RAM (Alice). Le basculement fonctionne car STS assume le rôle du compte membre cible en votre nom, ce qui constitue le mécanisme sous-jacent du basculement inter-comptes. Si l'utilisateur RAM (Alice) n'a besoin que d'un accès en lecture seule et ne doit pas basculer vers un compte membre, vous pouvez ignorer cette autorisation.
AliyunResourceDirectoryFullAccess : autorisation de gérer Resource Directory.
RemarqueSi l'utilisateur RAM (Alice) est utilisé en tant qu'administrateur de compte, vous pouvez lui accorder directement l'autorisation AdministratorAccess. Il s'agit d'une autorisation à haut risque. Accordez-la avec prudence.
Si vous rencontrez une erreur de connexion ou si vous ne parvenez pas à basculer vers un compte membre après avoir accordé les autorisations précédentes, résolvez le problème comme suit :
Vérifiez les autorisations manquantes. Assurez-vous que l'utilisateur RAM (Alice) dispose également des autorisations resourcedirectory:AssumeRoleInMember et resourcedirectory:ListAccounts, requises pour basculer entre les comptes membres et répertorier les comptes dans l'annuaire de ressources. Si l'une de ces autorisations est manquante, accordez-la et essayez à nouveau de basculer vers le compte membre.
Vérifiez l'état du rôle. Si le basculement échoue toujours après avoir accordé les autorisations précédentes, vérifiez si le rôle ResourceDirectoryAccountAccessRole existe dans le compte membre cible et si sa stratégie d'approbation et ses autorisations sont correctement configurées. Une stratégie d'approbation incorrecte ou une absence d'autorisation sur ce rôle peut également entraîner l'échec du basculement.
Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.
-
Utilisez l'utilisateur RAM (Alice) pour vous connecter au compte membre en assumant un rôle RAM.
Connectez-vous à la console Resource Management en tant qu'utilisateur RAM (Alice).
Dans le volet de navigation de gauche, choisissez .
-
Dans la vue Resource Organization View ou Member List View, cliquez sur Log On dans la colonne Actions du membre cible.
Après la connexion, l'utilisateur RAM (Alice) du compte de gestion assume le rôle RAM du membre cible (ResourceDirectoryAccountAccessRole). L'utilisateur peut alors effectuer des opérations dans le périmètre de ce rôle.
Se connecter en tant qu'utilisateur RAM
-
Connectez-vous au compte membre en assumant un rôle RAM depuis le compte de gestion.
Pour plus d'informations, consultez la rubrique Se connecter en tant que rôle RAM.
-
Créez un utilisateur RAM au sein du compte membre.
Dans cet exemple, le nom d'utilisateur RAM est Tom. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM.
-
Accordez des autorisations à l'utilisateur RAM (Tom).
Vous devez respecter le principe du moindre privilège pour accorder à l'utilisateur RAM (Tom) les autorisations d'accès à des ressources cloud spécifiques. Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.
-
Connectez-vous en tant qu'utilisateur RAM (Tom).
Pour plus d'informations, consultez la rubrique Se connecter en tant qu'utilisateur RAM.
Se connecter avec un compte Alibaba Cloud (non recommandé)
Pour des raisons de sécurité, nous déconseillons la connexion avec un compte Alibaba Cloud.
Accédez à la page de connexion de la console Alibaba Cloud.
Saisissez le nom d'utilisateur et le mot de passe du compte Alibaba Cloud.
Cliquez sur Logon.
Se connecter en tant qu'utilisateur CloudSSO
Configurez les paramètres pertinents dans CloudSSO. Pour plus d'informations, consultez la rubrique Utiliser CloudSSO pour gérer centralement les identités et les autorisations de plusieurs comptes. Ensuite, connectez-vous en tant qu'utilisateur CloudSSO. Pour plus d'informations, consultez la rubrique Se connecter au portail utilisateur CloudSSO.