Les identités RAM (utilisateurs et rôles) nécessitent des stratégies d'autorisation spécifiques pour gérer les groupes de ressources. Cette rubrique prend l'exemple d'un utilisateur RAM.
Présentation
Les autorisations requises se répartissent en trois catégories. Accordez-les toutes pour un accès complet, ou appliquez le principe du moindre privilège en n'octroyant que les permissions strictement nécessaires.
Gérer les groupes de ressources : Créez, supprimez, modifiez et consultez les groupes de ressources.
-
Consulter les ressources d'un groupe de ressources : Consultez les ressources d'un groupe de ressources dans l'onglet Resources de la page des détails du groupe.
Sur la page des détails du groupe de ressources, cliquez sur l'onglet Resources pour afficher la liste des ressources du groupe, incluant l'ID/nom de la ressource, la région, le type de ressource et les tags. Vous pouvez également cliquer sur Transfer In Resources pour transférer des ressources existantes vers le groupe de ressources actuel.
Gérer les autorisations limitées au groupe de ressources : Gérez les autorisations RAM dans l'onglet Permissions de la page des détails du groupe, par exemple en consultant, accordant ou révoquant des permissions.
Gérer les groupes de ressources
Autorisations de gestion des groupes de ressources
La stratégie suivante accorde toutes les autorisations nécessaires à la gestion des groupes de ressources, notamment leur création, suppression, modification et consultation. Elle est généralement attribuée aux administrateurs de groupes de ressources.
L'élément Action inclut ram:TagResources, ram:UntagResources et ram:ListTagResources. Une identité RAM disposant de cette stratégie peut ajouter, supprimer et consulter les tags des ressources telles que les groupes de ressources, les utilisateurs RAM et les rôles RAM. Accordez ces autorisations avec prudence.
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ram:*ResourceGroup*",
"ram:*AssociatedTransfer*",
"ram:LookupResourceGroupEvents",
"resourcemanager:*ResourceGroup*",
"resourcemanager:*AutoGrouping*",
"ram:TagResources",
"ram:UntagResources",
"ram:ListTagResources"
],
"Resource": "*"
}
]
}Autorisations en lecture seule pour les groupes de ressources
Pour accorder à un utilisateur RAM des autorisations en lecture seule pour les groupes de ressources, associez la stratégie suivante.
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ram:GetResourceGroup*",
"ram:ListResourceGroup*",
"ram:ListAssociatedTransferSetting",
"ram:LookupResourceGroupEvents",
"resourcemanager:GetResourceGroup*",
"resourcemanager:ListResourceGroup*",
"resourcemanager:GetAutoGrouping*",
"resourcemanager:ListAutoGrouping*",
"ram:ListTagResources"
],
"Resource": "*"
}
]
}Consulter les ressources d'un groupe de ressources
Pour qu'un utilisateur RAM puisse consulter les ressources dans l'onglet Resources de la page des détails d'un groupe de ressources, vous devez également lui accorder une autorisation en lecture seule pour les ressources cibles.
Exemple 1 : Pour permettre à un utilisateur RAM de consulter uniquement les ressources VPC dans le groupe de ressources ProjectA, accordez AliyunVPCReadOnlyAccess à l'étendue du groupe de ressources ProjectA.
Exemple 2 : Pour permettre à un utilisateur RAM de consulter toutes les ressources dans tous les groupes de ressources, accordez ReadOnlyAccess au niveau du compte.
Gérer les autorisations limitées au groupe de ressources
La stratégie suivante permet à un utilisateur RAM de gérer les autorisations RAM (telles que la consultation, l'octroi et la révocation des permissions) dans l'onglet Permissions de la page des détails d'un groupe de ressources. Elle est généralement attribuée aux administrateurs des autorisations RAM.
L'élément Action inclut ram:AttachPolicy, ram:DetachPolicy et ram:ListPolicyAttachments. Lorsque Resource est défini sur *, l'identité RAM autorisée peut consulter, révoquer et accorder des permissions à toute identité RAM, quelle que soit l'étendue du groupe de ressources ou l'étendue du compte. Ces opérations présentent un risque élevé. Accordez-les avec prudence.
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ram:AttachPolicy",
"ram:DetachPolicy",
"ram:ListPolicyAttachments",
"ram:ListPolicies",
"ram:ListUsers",
"ram:ListGroups",
"ram:ListRoles"
],
"Resource": "*"
}
]
}