Serverless App Engine:Accorder des autorisations à un utilisateur RAM

Scénarios applicables

Une entreprise, l'Entreprise A, souhaite permettre à certains de ses employés d'effectuer des tâches opérationnelles courantes. Dans ce cas, l'Entreprise A peut créer des utilisateurs RAM et leur attribuer les autorisations requises. Les employés peuvent ensuite se connecter à la console SAE en tant qu'utilisateurs RAM. SAE permet à l'Entreprise A de gérer les autorisations via des utilisateurs RAM. L'entreprise peut également contrôler les consoles auxquelles ces utilisateurs sont autorisés à accéder. Voici les scénarios courants :

• Par mesure de sécurité, l'Entreprise A ne souhaite pas exposer la paire AccessKey de son compte Alibaba Cloud à ses employés. Elle crée donc des utilisateurs RAM distincts pour chaque employé et leur accorde des autorisations différentes.

• Les utilisateurs RAM ne peuvent gérer les ressources qu'après avoir reçu les autorisations appropriées. L'utilisation des ressources n'est pas facturée individuellement aux utilisateurs RAM ; toutes les dépenses sont imputées au compte Alibaba Cloud de l'Entreprise A.

• L'Entreprise A peut révoquer les autorisations des utilisateurs RAM ou supprimer ces utilisateurs à tout moment.

Étape 1 : Créer un utilisateur RAM

1. Connectez-vous à la console RAM en utilisant un compte Alibaba Cloud ou un utilisateur RAM disposant de droits administratifs.

2. Dans le volet de navigation de gauche, sélectionnez Identities > Users.

3. Sur la page Users, cliquez sur Create User.

4. Dans la section User Account Information de la page Create User, configurez les paramètres suivants :

   • Logon Name : le nom de connexion peut contenir jusqu'à 64 caractères, y compris des lettres, des chiffres, des points (.), des traits d'union (-) et des traits de soulignement (_).

   • Display Name : le nom d'affichage peut contenir jusqu'à 128 caractères.

   • Tag : cliquez sur l'icône et saisissez une clé de tag ainsi qu'une valeur. Vous pouvez ajouter un ou plusieurs tags à l'utilisateur RAM afin de faciliter sa gestion.

   Remarque

   Vous pouvez cliquer sur Add User pour créer plusieurs utilisateurs RAM simultanément.

5. Dans la section Access Mode, sélectionnez un mode d'accès et configurez les paramètres requis.

   Pour garantir la sécurité de votre compte Alibaba Cloud, nous vous recommandons de ne sélectionner qu'un seul mode d'accès pour l'utilisateur RAM. Cela permet de distinguer clairement l'utilisateur destiné à une personne physique de celui destiné à un programme.

   • Console Access

     Si l'utilisateur RAM représente une personne physique, nous vous conseillons de sélectionner l'accès à la console. L'utilisateur pourra ainsi accéder à Alibaba Cloud avec un nom d'utilisateur et un mot de passe. Si vous choisissez cette option, vous devez configurer les paramètres suivants :

     • Définir le mot de passe de la console : vous pouvez choisir de régénérer automatiquement le mot de passe par défaut ou de définir un mot de passe personnalisé. Si vous optez pour un mot de passe personnalisé, vous devez en spécifier un qui respecte les exigences de complexité. Pour plus d'informations, consultez la rubrique Configurer une politique de mot de passe pour les utilisateurs RAM.

     • Réinitialisation du mot de passe : indique si l'utilisateur RAM doit modifier son mot de passe lors de sa prochaine connexion.

     • Activer MFA : spécifiez si vous souhaitez activer l'authentification multifacteur (MFA) pour l'utilisateur RAM. Une fois activée, vous devez associer un dispositif MFA. Pour plus d'informations, consultez la rubrique Associer un dispositif MFA à un utilisateur RAM.

   • OpenAPI Access

     Si l'utilisateur RAM représente une application, vous pouvez utiliser une paire AccessKey permanente pour accéder à Alibaba Cloud. La sélection de cette option génère automatiquement une paire AccessKey (un ID AccessKey et un secret AccessKey) pour l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Créer une AccessKey.

     Important

     • Le secret AccessKey d'un utilisateur RAM n'est affiché qu'au moment de la création de la paire AccessKey. Il est impossible de le récupérer ultérieurement. Vous devez donc sauvegarder votre secret AccessKey immédiatement.

     • Une paire AccessKey constitue un identifiant permanent pour l'accès programmatique. Si elle est compromise, toutes les ressources de votre compte sont exposées. Pour réduire ce risque, nous vous recommandons vivement d'utiliser des identifiants temporaires, tels qu'un jeton STS. Pour plus d'informations, consultez la rubrique Bonnes pratiques pour l'accès aux API OpenAPI d'Alibaba Cloud.

6. Cliquez sur OK.

Étape 2 : Accorder des autorisations à l'utilisateur RAM

Une fois les autorisations accordées, l'utilisateur RAM peut accéder aux ressources Alibaba Cloud correspondantes. Cette section illustre la procédure d'attribution des autorisations depuis la page Users. Pour découvrir d'autres méthodes, consultez la rubrique Gérer les autorisations des utilisateurs RAM.

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, sélectionnez Identities > Users.

3. Sur la page Users, localisez l'utilisateur RAM concerné et cliquez sur Add Permissions dans la colonne Actions.

   Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Add Permissions en bas de la page pour leur accorder des autorisations en une seule opération.

4. Dans le panneau Grant Permission, accordez les autorisations à l'utilisateur RAM.

   1. Configurez le paramètre Resource Scope.

      • Account : l'autorisation s'applique au compte Alibaba Cloud actuel.

      • Resource Group : l'autorisation s'applique à un groupe de ressources spécifique.

        Important

        Si vous sélectionnez Resource Group comme étendue de ressource, assurez-vous que le service cloud concerné prend en charge les groupes de ressources. Pour plus d'informations, consultez la page Services compatibles avec les groupes de ressources. Pour savoir comment accorder des autorisations sur un groupe de ressources, consultez la rubrique Contrôler l'accès des utilisateurs RAM à des instances ECS spécifiques.

   2. Configurez le paramètre Principal.

      Le principal correspond à l'utilisateur RAM auquel vous souhaitez accorder des autorisations. L'utilisateur RAM actuel est sélectionné automatiquement.

   3. Configurez le paramètre Policy.

      Une politique contient un ensemble d'autorisations. Les politiques se divisent en politiques système et politiques personnalisées. Vous pouvez en sélectionner plusieurs simultanément.

      • Politiques système : créées par Alibaba Cloud, elles sont utilisables mais non modifiables. Les mises à jour de version sont gérées par Alibaba Cloud. Pour plus d'informations, consultez la rubrique Services compatibles avec RAM.

        Remarque

        Le système identifie automatiquement les politiques système à haut risque, telles que AdministratorAccess et AliyunRAMFullAccess. Nous vous déconseillons d'accorder des autorisations inutiles en attachant ce type de politiques.

      • Politiques personnalisées : vous pouvez gérer et mettre à jour ces politiques selon vos besoins métier. Vous avez la possibilité de créer, modifier et supprimer des politiques personnalisées. Pour plus d'informations, consultez la rubrique Créer une politique personnalisée.

   4. Cliquez sur OK.

5. Cliquez sur Close.

Étapes suivantes

Les employés de l'Entreprise A peuvent accéder à SAE en tant qu'utilisateurs RAM en utilisant l'une des méthodes suivantes.

• Méthode 1 : Utiliser la console.

  1. Accédez au portail de connexion des utilisateurs RAM.

  2. Sur la page Log On With RAM User, saisissez le nom d'utilisateur de l'utilisateur RAM, cliquez sur Next, entrez le mot de passe, puis cliquez sur Log On.

     Remarque

     Le nom de connexion d'un utilisateur RAM suit le format <$username>@<$AccountAlias> ou <$username>@<$AccountAlias>.onaliyun.com. <$AccountAlias> correspond à l'alias du compte. Si aucun alias n'est défini, l'ID de votre compte Alibaba Cloud est utilisé par défaut. Pour plus d'informations, consultez la rubrique Se connecter à la console Alibaba Cloud en tant qu'utilisateur RAM.

  3. Dans la zone de recherche en haut de la console Alibaba Cloud, saisissez Serverless App Engine et cliquez sur le service pour accéder à la console SAE.

• Méthode 2 : Appeler une API.

  Utilisez l'ID AccessKey et le secret AccessKey de l'utilisateur RAM dans votre code pour appeler les opérations d'API et accéder à SAE.