Serverless App Engine:Assistant d'autorisations SAE

Prérequis

Créer un utilisateur RAM

Contexte

L'assistant d'autorisations SAE génère des politiques RAM. Il vous permet de configurer visuellement les autorisations pour SAE avec une granularité fine, jusqu'aux opérations de lecture et d'écriture sur les applications et les tâches. L'assistant génère les instructions de politique correspondantes dans la console SAE, ce qui évite les erreurs liées à la modification manuelle des instructions dans la console RAM. Créez ensuite une politique personnalisée dans la console RAM, remplacez son contenu par l'instruction générée, puis attribuez cette politique à l'utilisateur RAM nécessitant les autorisations SAE.

Les comptes Alibaba Cloud (comptes principaux) et les utilisateurs RAM (sous-comptes) peuvent utiliser l'assistant d'autorisations dans la console SAE pour créer des ébauches de politique. Vous devez toutefois déployer la politique dans la console RAM pour qu'elle prenne effet.

Étape 1 : Créer une politique dans la console SAE

1. Dans la console SAE, sélectionnez dans le volet de navigation de gauche. Sur la page Permission Assistant, cliquez sur Create Policy.

2. Dans le panneau Create Policy, à l'étape Policy Configuration de l'assistant, configurez les paramètres suivants, puis cliquez sur Next.

   1. Saisissez un Policy Name et une Note.

      Parameter	Description
      Policy Name	Nom personnalisé de la politique. Le nom doit commencer par une lettre et comporter au maximum 36 caractères. Il peut contenir des lettres, des chiffres, des traits de soulignement (_) et des traits d'union (-).
      Note	Saisissez une description pour la politique.

   2. Cliquez sur Add Statement. Dans le panneau Add Statement, configurez les paramètres suivants, puis cliquez sur OK.

      Parameter	Description
      Resource	Sélectionnez les dimensions de ressource dans les listes déroulantes. Région : vous ne pouvez sélectionner qu'une seule région. Namespace : vous ne pouvez sélectionner qu'un seul namespace. Application ou Task : vous pouvez sélectionner une ou plusieurs applications ou tâches.
      Action	Dans la zone Optional Permissions, sélectionnez les autorisations à accorder. Les autorisations sélectionnées apparaissent dans la zone Selected Permissions. Notez les points suivants : La zone de texte Search action prend en charge la recherche floue et est sensible à la casse. Par défaut, System Default Read Permissions est sélectionné dans la zone Selected Permissions. Les actions de lecture et d'écriture sont liées. Lorsque vous sélectionnez une autorisation d'écriture, telle que , le système sélectionne automatiquement les autorisations de lecture associées.

   À l'étape Policy Configuration de l'assistant, consultez les instructions de politique ajoutées et effectuez des opérations telles que View Permissions, Clone, Edit ou Delete.

   Les instructions de politique s'affichent dans un tableau avec des colonnes pour Resource (incluant la région, le namespace et l'application), Action et Operations.

   Remarque

   • Pour définir des autorisations sur des ressources situées dans plusieurs namespaces, ajoutez une instruction de politique distincte pour chaque namespace.

   • Pour copier une instruction de politique existante, cliquez sur Clone. Dans le panneau Clone, modifiez l'instruction pour en créer une nouvelle.

3. À l'étape Preview Policy de l'assistant, vérifiez les instructions de politique générées, puis cliquez sur OK.

   Cliquez sur Copy pour copier l'instruction de politique RAM. Vous utiliserez cette instruction à l'Étape 2 : Créer une politique RAM personnalisée.

   Vous revenez à la page Permission Assistant. Consultez la politique nouvellement créée et effectuez des opérations telles que View Permissions, Copy RAM Authorization Statement, Edit ou Delete.

   Important

   • Les politiques générées par l'assistant d'autorisations SAE s'appliquent uniquement aux ressources SAE et peuvent contenir au maximum 20 instructions.

   • Lorsque SAE publie de nouvelles fonctionnalités, il peut être nécessaire de régénérer les instructions de politique RAM. Sinon, les utilisateurs RAM disposant de la politique existante pourraient ne pas avoir les autorisations requises pour ces fonctionnalités.

Étape 2 : Créer une politique RAM personnalisée

Lors de la création d'une politique personnalisée dans la console RAM, utilisez l'instruction de politique générée à l'Étape 1 : Créer une politique dans la console SAE.

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, sélectionnez > .

3. Sur la page Policies, cliquez sur Create Policy.

4. Sur la page Create Policy, cliquez sur l'onglet JSON.

   L'éditeur JSON s'affiche avec un modèle de politique par défaut incluant les éléments Version et Statement. L'élément Statement contient les éléments Effect, Action, Resource et Condition. Spécifiez les actions et les ressources dans les éléments Action et Resource.

5. Dans l'éditeur JSON, collez l'instruction de politique copiée depuis la console SAE.

   Pour plus d'informations sur la syntaxe et la structure des politiques, consultez Structure et syntaxe des politiques.

6. Cliquez sur Next: Edit Basic Information pour optimiser le contenu de la politique.

   La fonctionnalité d'optimisation avancée des politiques effectue les tâches suivantes :

   • Sépare les ressources ou les conditions incompatibles avec les actions.

   • Réduit la portée des ressources.

   • Supprime les doublons ou fusionne les instructions.

7. Cliquez sur OK.

8. Spécifiez le Policy Name et la Note, puis cliquez sur OK.

Étape 3 : Accorder des autorisations à un utilisateur RAM

Après avoir créé la politique personnalisée, accordez les autorisations à l'utilisateur RAM. Les étapes suivantes montrent comment accorder des autorisations depuis la page des utilisateurs. Pour plus d'informations sur les autres méthodes, consultez Accorder des autorisations à un utilisateur RAM.

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, sélectionnez Identities > Users.

3. Sur la page Users, localisez l'utilisateur RAM auquel vous souhaitez accorder des autorisations et cliquez sur Add Permissions dans la colonne Actions.

   Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Add Permissions en bas de la liste des utilisateurs pour accorder des autorisations en masse.

4. Dans le panneau Add Permissions, accordez des autorisations à l'utilisateur RAM.

   1. Sélectionnez une étendue d'autorisation.

      • Alibaba Cloud Account : les autorisations s'appliquent au compte Alibaba Cloud actuel.

      • Resource Group : les autorisations s'appliquent uniquement à un groupe de ressources spécifique.

        Important

        Pour qu'une autorisation spécifique à un groupe de ressources prenne effet, le service cloud doit prendre en charge les groupes de ressources. Pour plus d'informations, consultez Services compatibles avec Resource Group. Pour un exemple d'octroi d'autorisations sur un groupe de ressources, consultez Utiliser un groupe de ressources pour accorder à un utilisateur RAM les autorisations de gestion d'une instance ECS spécifique.

   2. Sélectionnez un principal.

      Le principal est l'utilisateur RAM auquel vous souhaitez accorder des autorisations. L'utilisateur RAM actuel est sélectionné par défaut.

   3. Sélectionnez des politiques.

      Une politique définit un ensemble d'autorisations. Vous pouvez sélectionner plusieurs politiques. Les politiques sont classées dans les types suivants :

      • Politique système : politique créée et maintenue par Alibaba Cloud. Vous pouvez utiliser les politiques système, mais pas les modifier. Pour plus d'informations, consultez Services compatibles avec RAM.

        Remarque

        Le système signale les politiques système à haut risque, telles que AdministratorAccess et AliyunRAMFullAccess. Évitez d'accorder ces autorisations sauf si cela est absolument nécessaire.

      • Politique personnalisée : politique que vous pouvez créer et gérer. Vous êtes responsable des versions de la politique et pouvez la créer, la mettre à jour ou la supprimer. Pour plus d'informations, consultez Créer une politique personnalisée.

   4. Cliquez sur OK.

5. Cliquez sur Complete.