Grant self-managed permissions for ROS stack groups - Resource Orchestration Service

Pour créer un groupe de piles avec des autorisations gérées par l'utilisateur, créez manuellement des rôles RAM dans les comptes d'administration et d'exécution afin d'établir une relation de confiance pour le déploiement des piles.

Contexte

Accordez des autorisations gérées par l'utilisateur en créant et en autorisant des rôles RAM pour les comptes Alibaba Cloud suivants :

Compte Alibaba Cloud	Rôle RAM	Politique	Description
compte d'administration	AliyunROSStackGroupAdministrationRole	Politique personnalisée : AssumeRole-AliyunROSStackGroupExecutionRole	Permet à AliyunROSStackGroupAdministrationRole d'assumer le rôle AliyunROSStackGroupExecutionRole.
compte d'exécution	AliyunROSStackGroupExecutionRole	Politique système : AdministratorAccess	Accorde à AliyunROSStackGroupExecutionRole un accès complet à toutes les ressources du compte d'exécution.

Remarque

Les comptes d'administration et d'exécution peuvent correspondre au même compte Alibaba Cloud. La rubrique Vue d'ensemble explique les rôles des comptes.

Une fois les autorisations accordées, connectez-vous à la console ROS avec le compte d'administration pour créer un groupe de piles et déployer des piles dans le compte d'exécution.

Méthode 1 : Utiliser la console RAM

Configurez les autorisations pour le compte d'exécution.
1. Connectez-vous à la console RAM avec un compte d'exécution.
2. Créez un rôle RAM nommé AliyunROSStackGroupExecutionRole et définissez le compte d'administration comme entité de confiance.
  1. Dans le volet de navigation de gauche, choisissez Identities > Roles.
  2. Sur la page Roles, cliquez sur Create Role.
  3. Sur la page Create Role, définissez le paramètre Trusted Entity Type sur Cloud Account.
  4. Définissez le paramètre Trusted Cloud Account sur Other Cloud Account et saisissez l'ID du compte d'administration.
  5. Cliquez sur OK. Dans la boîte de dialogue qui s'affiche, saisissez AliyunROSStackGroupExecutionRole dans le champ Role Name.
  6. Cliquez sur OK pour terminer la création.
3. Accordez l'autorisation AdministratorAccess au rôle AliyunROSStackGroupExecutionRole.
  1. Sur la page Roles, localisez le rôle RAM AliyunROSStackGroupExecutionRole et cliquez sur Grant Permission dans la colonne Actions.
  2. Dans le panneau Grant Permission, définissez l'étendue des ressources sur Account Level. Le principal est renseigné automatiquement.
  3. Sélectionnez System Policy puis sélectionnez la politique AdministratorAccess.
  4. Cliquez sur Confirm Grant Permission.
Configurez les autorisations pour le compte d'administration.
1. Connectez-vous à la console RAM avec le compte d'administration.
2. Créez un rôle RAM nommé AliyunROSStackGroupAdministrationRole et définissez Resource Orchestration Service comme entité de confiance.
  1. Dans le volet de navigation de gauche, choisissez Identities > Roles.
  2. Sur la page Roles, cliquez sur Create Role.
  3. Sur la page Create Role, définissez le paramètre Trusted Entity Type sur Cloud Service.
  4. Définissez le paramètre Principal sur Resource Orchestration Service et cliquez sur OK.
  5. Dans la boîte de dialogue qui s'affiche, saisissez AliyunROSStackGroupAdministrationRole dans le champ Role Name.
  6. Cliquez sur OK pour terminer la création.
3. Créez une politique personnalisée nommée AssumeRole-AliyunROSStackGroupExecutionRole.
  1. Dans le volet de navigation de gauche, choisissez Permissions > Policies.
  2. Sur la page Policies, cliquez sur Create Policy.
  3. Sur la page Create Policy, cliquez sur l'onglet Script Editor, saisissez le contenu de la politique suivant, puis cliquez sur OK. Ensuite, définissez le paramètre Name sur AssumeRole-AliyunROSStackGroupExecutionRole.
    Cette politique permet à AliyunROSStackGroupAdministrationRole d'assumer le rôle AliyunROSStackGroupExecutionRole.
    
    { "Statement": [ { "Effect": "Allow", "Action": "sts:AssumeRole", "Resource": "acs:ram::*:role/AliyunROSStackGroupExecutionRole" } ], "Version": "1" }
  4. Cliquez sur OK pour terminer la création.
4. Accordez l'autorisation AssumeRole-AliyunROSStackGroupExecutionRole au rôle AliyunROSStackGroupAdministrationRole.
  1. Dans le volet de navigation de gauche, choisissez Identities > Roles.
  2. Sur la page Roles, localisez le rôle RAM AliyunROSStackGroupAdministrationRole et cliquez sur Grant Permission dans la colonne Actions.
  3. Dans le panneau Grant Permission, définissez le paramètre Resource Scope sur Account Level. Le principal est renseigné automatiquement.
  4. Sélectionnez Custom Policy puis sélectionnez la politique AssumeRole-AliyunROSStackGroupExecutionRole.
  5. Cliquez sur Confirm Grant Permission.

Méthode 2 : Utiliser la console ROS

Utilisez des modèles ROS pour créer des rôles RAM et accorder des autorisations pour les comptes d'administration et d'exécution.

Connectez-vous à la console ROS avec le compte d'administration et utilisez le modèle AliyunROSStackGroupAdministrationRole pour créer le rôle RAM et accorder des autorisations.

Exemple de modèle :

ROSTemplateFormatVersion: '2015-09-01'
Description: Configures the AliyunROSStackGroupAdministrationRole to enable the use of stack groups in Alibaba Cloud ROS.
Parameters:
  AdministrationRoleName:
    Type: String
    Default: AliyunROSStackGroupAdministrationRole
    Description:
      en: Name of the role for the administrator account
  ExecutionRoleName:
    Type: String
    Default: AliyunROSStackGroupExecutionRole
    Description:
      en: Name of the execution role for the execution account
Metadata:
  ALIYUN::ROS::Interface:
    ParameterGroups:
      - Parameters:
          - AdministrationRoleName
          - ExecutionRoleName
        Label:
          default:
            en: RAM
    TemplateTags:
      - acs:example:Security:Grant permissions to the administrator account of a stack group
Resources:
  AliyunROSStackGroupAdministrationRole:
    Type: ALIYUN::RAM::Role
    Properties:
      RoleName:
        Ref: AdministrationRoleName
      AssumeRolePolicyDocument:
        Version: 1
        Statement:
          - Action: sts:AssumeRole
            Effect: Allow
            Principal:
              Service:
                - ros.aliyuncs.com
      Policies:
        - PolicyName:
            Fn::Sub:
              - AssumeRole-${ExecutionRoleName}
              - ExecutionRoleName:
                  Ref: ExecutionRoleName
          PolicyDocument:
            Statement:
              - Effect: Allow
                Action:
                  - sts:AssumeRole
                Resource:
                  - Fn::Sub: acs:ram::*:role/${ExecutionRoleName}
            Version: '1'
Outputs:
  AdministrationRoleName:
    Value:
      Fn::GetAtt:
        - AliyunROSStackGroupAdministrationRole
        - RoleName

Connectez-vous à la console ROS avec un compte d'exécution et utilisez le modèle AliyunROSStackGroupExecutionRole pour créer le rôle RAM et accorder des autorisations.

Exemple de modèle :

ROSTemplateFormatVersion: '2015-09-01'
Description: Configures the AliyunROSStackGroupExecutionRole to enable your account to be used as an execution account for stack groups in Alibaba Cloud ROS.
Conditions:
  CurrentAccount:
    Fn::Equals:
      - Ref: AdministrationAccountId
      - ''
Parameters:
  ExecutionRoleName:
    Type: String
    Default: AliyunROSStackGroupExecutionRole
    Description:
      en: Name of the execution role for the execution account
  AdministrationAccountId:
    Type: String
    Description:
      en: The ID of the administrator account. If you leave this parameter empty, permissions are granted to the current account.
    Default: ''
Metadata:
  ALIYUN::ROS::Interface:
    ParameterGroups:
      - Parameters:
          - ExecutionRoleName
          - AdministrationAccountId
        Label:
          default: RAM
    TemplateTags:
      - acs:example:Security:Grant permissions to the execution account of a stack group
Resources:
  AliyunROSStackGroupExecutionRole:
    Type: ALIYUN::RAM::Role
    Properties:
      RoleName:
        Ref: ExecutionRoleName
      AssumeRolePolicyDocument:
        Version: 1
        Statement:
          - Action: sts:AssumeRole
            Effect: Allow
            Principal:
              RAM:
                - Fn::Join:
                    - ''
                    - - 'acs:ram::'
                      - Fn::If:
                          - CurrentAccount
                          - Ref: ALIYUN::TenantId
                          - Ref: AdministrationAccountId
                      - ':root'
  AttachPolicy:
    Type: ALIYUN::RAM::AttachPolicyToRole
    Properties:
      PolicyName: AdministratorAccess
      PolicyType: System
      RoleName:
        Fn::GetAtt:
          - AliyunROSStackGroupExecutionRole
          - RoleName
Outputs:
  ExecutionRoleName:
    Value:
      Fn::GetAtt:
        - AliyunROSStackGroupExecutionRole
        - RoleName