Serverless App Engine (SAE) gère les autorisations via le service Resource Access Management (RAM) d'Alibaba Cloud. Cette fonctionnalité isole et contrôle l'accès aux données des ressources pour garantir leur sécurité. Cette rubrique décrit les scénarios d'application et la mise en œuvre de la gestion des autorisations SAE, en s'appuyant sur les opérations quotidiennes d'une entreprise.
Présentation de la fonctionnalité
Pour comprendre la gestion des autorisations SAE, parcourez les exemples de scénarios présentés dans cette rubrique. Pour plus d'informations, consultez les sections Contexte et Scénario métier.
-
Si vous maîtrisez déjà la gestion des autorisations, accédez directement aux rubriques suivantes selon vos besoins :
Politiques d'autorisation et exemples : concepts de base, politiques prises en charge par SAE et exemples.
Assistant d'autorisation SAE : génération d'instructions d'autorisation via l'outil Assistant d'autorisation SAE pour simplifier la configuration des politiques personnalisées.
Accorder des autorisations aux utilisateurs RAM : création d'utilisateurs RAM et attribution des autorisations nécessaires.
Accorder des autorisations aux rôles RAM : création de rôles RAM et attribution d'autorisations pour accéder aux ressources via des jetons de sécurité associés à l'identité du rôle.
Gestion des contacts : configuration des règles d'autorisation pour des contacts spécifiques, envoi de notifications, etc.
Approbation des opérations : configuration des processus d'approbation pour les fonctionnalités critiques de la plateforme SAE afin d'assurer un contrôle granulaire des autorisations opérationnelles.
Rôle lié au service : obtention par SAE des autorisations d'accès aux autres ressources cloud via des rôles liés au service.
Contexte
Les applications hébergées sur SAE peuvent inclure plusieurs services ou sous-systèmes développés et maintenus par différentes équipes. SAE propose un système de gestion des autorisations de niveau entreprise, s'appuyant sur un système de comptes et diverses opérations de gestion. Cela permet d'isoler et de contrôler l'accès aux applications, aux ressources et aux données pour garantir la sécurité.
L'entreprise A a souscrit au service SAE via le compte Alibaba Cloud A (compte principal). Initialement, plusieurs employés partageaient ce compte. Avec la croissance de l'activité, l'ajout d'employés a rendu difficile la répartition claire des responsabilités et a accru les risques de sécurité. Pour résoudre ces problèmes, l'entreprise A a utilisé les fonctionnalités de RAM pour attribuer des autorisations distinctes aux employés et répartir la facturation entre les départements.
Scénario métier
Scénario 1
L'entreprise A souhaite définir les responsabilités de ses employés et leur attribuer des autorisations.
Pour définir clairement les responsabilités, l'entreprise A utilise le compte Alibaba Cloud A afin de créer plusieurs utilisateurs RAM et de leur attribuer des autorisations distinctes. Les employés accèdent alors aux différentes ressources via ces utilisateurs RAM. L'entreprise A ayant acquis des ressources pour héberger ses applications sur SAE, elle doit d'abord comprendre les politiques d'autorisation et les exemples de configuration SAE dans RAM. RAM prend en charge les types de politiques suivants :
Politiques système : créées et mises à jour par Alibaba Cloud. Vous pouvez les utiliser, mais pas les modifier.
Politique personnalisée : vous créez, mettez à jour et supprimez les politiques personnalisées, et gérez leurs mises à jour.
Dans certains scénarios, SAE doit obtenir des autorisations d'accès à d'autres services cloud pour remplir certaines fonctions. Par exemple, pour récupérer des informations sur des ressources telles que les Virtual Private Clouds (VPC) lors de la création d'une application, utilisez le rôle lié au service AliyunServiceRoleForSAE afin d'obtenir les autorisations nécessaires pour accéder aux services connexes tels que VPC.
Pour plus d'informations, consultez les rubriques Politiques d'autorisation et exemples et Rôle lié au service.
Scénario 2
L'entreprise A souhaite accorder des autorisations granulaires à ses employés.
Après s'être familiarisée avec les politiques d'autorisation, l'entreprise A commence par attribuer des autorisations système aux employés. Il s'agit d'autorisations générales courantes, telles que les autorisations de lecture pour les ressources SAE. Si les politiques système ne répondent pas aux exigences métier, l'entreprise A crée des politiques personnalisées pour mettre en œuvre un contrôle d'accès granulaire.
Lors de la configuration des politiques personnalisées, l'assistant d'autorisation SAE simplifie la rédaction initiale du script. L'entreprise A copie le script complet généré automatiquement dans la console RAM, crée la politique personnalisée correspondante et l'attribue aux utilisateurs RAM. Cette méthode évite efficacement les erreurs susceptibles de se produire lors d'une manipulation directe dans la console RAM.
Pour plus d'informations, consultez la rubrique Assistant d'autorisation SAE.
Scénario 3
L'entreprise A souhaite créer des utilisateurs RAM pour ses employés et leur attribuer des autorisations.
Après avoir étudié les politiques d'autorisation, l'entreprise A crée des utilisateurs RAM et attribue les autorisations requises à ces utilisateurs pour les différents employés.
Pour plus d'informations, consultez la rubrique Accorder des autorisations aux utilisateurs RAM.
Scénario 4
L'entreprise A souhaite partager la charge de travail avec une entreprise partenaire. Dans ce cas, l'entreprise A doit créer des utilisateurs RAM et leur attribuer des autorisations entre comptes.
L'entreprise A a établi un partenariat solide avec l'entreprise B au fur et à mesure de la croissance de son activité, et souhaite autoriser l'entreprise B à gérer une partie de ses activités. Voici les exigences de l'entreprise A :
L'entreprise A souhaite se concentrer sur ses systèmes métier et agir uniquement en tant que propriétaire des ressources SAE. Elle autorise l'entreprise B à gérer certains services, tels que le déploiement d'applications, la gestion des applications, l'élasticité automatique, le démarrage et l'arrêt des applications en un clic, ainsi que la surveillance des applications.
À chaque arrivée ou départ d'un employé de l'entreprise B, l'entreprise A n'a pas besoin de modifier les paramètres d'autorisation. L'entreprise B attribue les autorisations d'accès aux ressources de l'entreprise A aux utilisateurs RAM de l'entreprise B, et contrôle finement les autorisations d'accès et d'exploitation de ses employés ou de ses applications sur les ressources.
Si le contrat entre l'entreprise A et l'entreprise B prend fin, l'entreprise A révoque les autorisations de l'entreprise B.
Pour plus d'informations, consultez la rubrique Accorder des autorisations aux rôles RAM.
Scénario 5
L'entreprise A souhaite gérer chaque processus d'approbation d'accès.
L'entreprise A a déployé plusieurs namespaces au sein du compte Alibaba Cloud A, notamment l'environnement de test, l'environnement de développement, l'environnement de préproduction et l'environnement de production. L'entreprise A souhaite contrôler strictement l'accès aux ressources de l'environnement de production. Les développeurs non autorisés se voient refuser l'accès aux ressources de cet environnement, ce qui prévient les pannes. L'entreprise A configure des processus d'approbation d'accès et reçoit des notifications d'approbation pour exercer un contrôle granulaire sur les autorisations opérationnelles.
Pour plus d'informations, consultez les rubriques Approbation des opérations et Gestion des contacts.