Resource Orchestration Service:Utiliser RAM pour contrôler l'accès aux ressources

Créer un utilisateur RAM et accorder des autorisations

Accorder une politique système à un utilisateur RAM

1. Connectez-vous à la console Resource Access Management (RAM) avec votre compte Alibaba Cloud.

2. Dans le volet de navigation de gauche, cliquez sur Settings pour configurer les paramètres initiaux de RAM.

   Vous pouvez configurer les paramètres de sécurité pour les utilisateurs RAM. Pour plus d'informations, consultez Définir des politiques de sécurité pour les utilisateurs RAM.

3. Dans le volet de navigation de gauche, choisissez Identity Management > Users. Créez un utilisateur RAM et définissez un mot de passe de connexion ainsi qu'une clé AccessKey pour cet utilisateur.

   Pour plus d'informations, consultez Créer un utilisateur RAM.

4. Sur la page Users, accordez une politique système à l'utilisateur RAM cible.

   Remarque

   • Si vous souhaitez que l'utilisateur RAM dispose d'autorisations en lecture seule pour les ressources Resource Orchestration Service (ROS), attachez la stratégie AliyunROSReadOnlyAccess à l'utilisateur RAM.

   • Si vous souhaitez que l'utilisateur RAM puisse gérer toutes les opérations ROS, attachez la stratégie AliyunROSFullAccess à l'utilisateur RAM.

Accorder une politique personnalisée à un utilisateur RAM

1. Dans le volet de navigation de gauche, choisissez Permission Management > Policies pour créer une politique personnalisée.

   Une politique personnalisée est une politique d'autorisation qui définit les opérations qu'un utilisateur RAM peut effectuer sur une pile. Pour plus d'informations, consultez Créer une politique personnalisée.

   Une politique d'accès peut contenir plusieurs instructions. Chaque instruction doit inclure une action (Action) et une ressource (Resource). Pour plus d'informations sur les actions et les ressources prises en charge par ROS, consultez Types de ressources autorisables de ROS.

2. Dans le volet de navigation de gauche, choisissez Identity Management > Users pour accorder la politique personnalisée à l'utilisateur RAM cible.

   Remarque

   Vous pouvez accorder une politique personnalisée à un groupe d'utilisateurs. Une fois la politique attribuée au groupe, tous les utilisateurs RAM de ce groupe héritent des autorisations.

Exemples de politiques personnalisées ROS

• Exemple 1 : Afficher la liste des piles

  La politique suivante autorise un utilisateur RAM à afficher la liste et les détails de toutes les piles dans la région Chine (Pékin). L'astérisque (*) est un caractère générique qui représente toutes les piles de la région Chine (Pékin).

  {
    "Statement": [
      {
        "Action": [
          "ros:DescribeStacks",
          "ros:DescribeStackDetail"
        ],
        "Effect": "Allow",
        "Resource": "acs:ros:cn-beijing:*:stack/*"
      }
    ],
    "Version": "1"
  }                                                        

• Exemple 2 : Créer et afficher des piles

  La politique suivante autorise un utilisateur RAM à créer et à afficher des piles dans toutes les régions.

  {
    "Statement": [
      {
        "Action": [
          "ros:CreateStack",
          "ros:DescribeStacks",
          "ros:DescribeStackDetail",
          "ros:ValidateTemplate"
        ],
        "Effect": "Allow",
        "Resource": "*"
      }
    ],
    "Version": "1"
  }                                                      

• Exemple 3 : Mettre à jour une pile

  La politique suivante autorise l'utilisateur RAM 12345**** à mettre à jour la pile 94dd5431-2df6-4415-81ca-732a7082****.

  {
    "Statement": [
      {
        "Action": [
          "ros:UpdateStack"
        ],
        "Effect": "Allow",
        "Resource": "acs:ros:cn-beijing:12345****:stack/94dd5431-2df6-4415-81ca-732a7082****"
      }
    ],
    "Version": "1"
  }                                                        

• Exemple 4 : Accéder à toutes les fonctionnalités et ressources ROS

  Cette politique s'applique indépendamment du fait que ROS utilise ou non le service Security Token Service (STS) d'Alibaba Cloud pour l'autorisation temporaire. Elle permet à un utilisateur RAM d'accéder à toutes les fonctionnalités et ressources de ROS, mais pas aux autres services Alibaba Cloud. Cet accès n'est autorisé que si l'utilisateur se connecte à la console Alibaba Cloud Management Console ou appelle une API via HTTPS depuis le bloc CIDR 42.120.XX.XX/24. Remarques :

  • acs:SourceIp est défini sur 42.120.XX.XX/24. Cela signifie que l'accès à Alibaba Cloud doit provenir du bloc CIDR spécifié (42.120.XX.XX/24).

  • acs:SecureTransport est défini sur true. Cela signifie que l'accès à Alibaba Cloud doit utiliser HTTPS.

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "ros:*",
        "Resource": "*",
        "Condition": {
          "IpAddress": {
            "acs:SourceIp": "42.120.XX.XX/24"
          },
          "Bool": {
            "acs:SecureTransport": "true"
          }
        }
      }
    ],
    "Version": "1"
  }

• Exemple 5 : Accéder à toutes les fonctionnalités et ressources ROS et configurer l'accès à Elastic Compute Service (ECS)

  • Si ROS utilise STS pour l'autorisation temporaire : Les conditions acs:SourceIp et acs:SecureTransport ne peuvent pas être transmises dans les scénarios STS. Par conséquent, cette politique autorise un utilisateur RAM à accéder à toutes les fonctionnalités et ressources de ROS, mais pas aux autres services, y compris ECS. Cet accès n'est autorisé que si l'utilisateur se connecte à la console Alibaba Cloud Management Console ou appelle une API via HTTPS depuis le bloc CIDR 42.120.XX.XX/24.

  • Si ROS n'utilise pas STS pour l'autorisation temporaire : Cette politique autorise un utilisateur RAM à accéder à toutes les fonctionnalités et ressources de ROS et d'ECS, mais pas aux autres services. Cet accès n'est autorisé que si l'utilisateur se connecte à la console Alibaba Cloud Management Console ou appelle une API via HTTPS depuis le bloc CIDR 42.120.XX.XX/24.

    Remarque

    Si ROS n'utilise pas STS pour l'autorisation temporaire, les services qui prennent en charge la transmission des conditions acs:SourceIp et acs:SecureTransport sont les suivants : Elastic Compute Service (ECS), Virtual Private Cloud (VPC), Server Load Balancer (SLB), ApsaraDB RDS (RDS), Tair (compatible avec Redis OSS), PrivateZone, Container Service for Kubernetes (ACK), Function Compute (FC), Object Storage Service (OSS), Simple Log Service (SLS), API Gateway et ActionTrail.

    {
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "ros:*",
            "ecs:*"
          ],
          "Resource": "*",
          "Condition": {
            "IpAddress": {
              "acs:SourceIp": "42.120.XX.XX/24"
            },
            "Bool": {
              "acs:SecureTransport": "true"
            }
          }
        }
      ],
      "Version": "1"
    }