Utilisez un rôle RAM pour accéder aux ressources d'un autre compte Alibaba Cloud ou pour permettre à un autre compte Alibaba Cloud d'accéder à vos ressources. Cette rubrique explique comment créer et utiliser un rôle RAM.
Présentation
Un rôle RAM est un utilisateur virtuel auquel des politiques peuvent être attribuées. Contrairement à un utilisateur RAM, un rôle RAM ne possède pas d'identifiants permanents, tels qu'un mot de passe de connexion ou une AccessKey. Une entité de confiance doit endosser le rôle RAM. Une fois le rôle endossé, l'entité obtient un jeton STS temporaire pour accéder aux ressources autorisées.
Par exemple, pour autoriser un utilisateur RAM de l'entreprise B à accéder aux ressources Simple Log Service de l'entreprise A, utilisez un rôle RAM. Le processus est le suivant :
L'entreprise A crée un rôle RAM.
L'entreprise A attribue des autorisations au rôle RAM.
L'entreprise B crée un utilisateur RAM.
L'entreprise B accorde l'autorisation AliyunSTSAssumeRoleAccess à l'utilisateur RAM.
L'utilisateur RAM de l'entreprise B endosse le rôle RAM pour accéder aux ressources de l'entreprise A.
Étape 1 : Créer un rôle RAM dans l'entreprise A
Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez .
Sur la page Role, cliquez sur Create Role.
Sur la page Create Role, définissez Principal Type sur Alibaba Cloud Account, définissez Select Trusted Alibaba Cloud Account sur Other Alibaba Cloud Account, saisissez l'account ID du compte racine de l'entreprise B, puis cliquez sur OK.
Dans la boîte de dialogue Create Role, saisissez un Role Name, par exemple
aliyunlogreadrole.
Étape 2 : Accorder des autorisations au rôle RAM
Par défaut, un nouveau rôle RAM ne dispose d'aucune autorisation. Vous devez lui en attribuer. RAM propose les deux politiques système suivantes pour Simple Log Service. Nous vous recommandons de suivre le principe du moindre privilège et de n'accorder que les autorisations nécessaires au rôle RAM.
AliyunLogFullAccess : accorde un accès de gestion complet à Simple Log Service.
AliyunLogReadOnlyAccess : accorde un accès en lecture seule à Simple Log Service.
Si les politiques système ne répondent pas à vos besoins, créez une politique personnalisée pour une gestion fine des autorisations. Pour plus d'informations, consultez la section Créer des politiques personnalisées. Pour des exemples de politiques, consultez les sections Exemples de politiques personnalisées et Accorder des autorisations sur Simple Log Service à un utilisateur RAM.
Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez .
-
Sur la page Role, localisez le rôle RAM cible et cliquez sur Create Authorization dans la colonne Actions.
Vous pouvez également sélectionner plusieurs rôles RAM et cliquer sur Create Authorization en bas de la liste des rôles pour accorder des autorisations par lot.
Dans le panneau Create Authorization, sélectionnez une politique, telle que AliyunLogReadOnlyAccess, et cliquez sur OK.
Cliquez sur Close.
Étape 3 : Créer un utilisateur RAM dans l'entreprise B
Connectez-vous à la console RAM avec votre compte Alibaba Cloud ou en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez .
Sur la page Users, cliquez sur Create User.
-
Sur la page Create User, dans la section User Account Information, configurez les informations de base de l'utilisateur.
Logon Name : le nom peut comporter jusqu'à 64 caractères et contenir des lettres, des chiffres, des points (.), des traits d'union (-) et des traits de soulignement (_).
Display Name : le nom peut comporter jusqu'à 128 caractères.
-
Tag : cliquez sur
, puis saisissez une clé de tag et une valeur de tag. Vous pouvez ajouter des tags à l'utilisateur RAM pour faciliter la gestion des utilisateurs basée sur les tags.RemarqueCliquez sur Add User pour créer plusieurs utilisateurs RAM simultanément.
-
Dans la section Access Method, sélectionnez un mode d'accès et configurez ses paramètres.
Pour des raisons de sécurité, nous vous recommandons de ne sélectionner qu'un seul des modes d'accès suivants afin de distinguer les utilisateurs humains des utilisateurs applicatifs.
-
Console Access
Si l'utilisateur RAM représente une personne physique, nous vous recommandons d'activer l'accès à la console, qui permet à l'utilisateur d'accéder à Alibaba Cloud avec un nom d'utilisateur et un mot de passe. Vous devez configurer les paramètres suivants :
Console Password : choisissez si vous souhaitez générer automatiquement un mot de passe ou le personnaliser. Un mot de passe personnalisé doit respecter les règles de complexité. Pour plus d'informations, consultez la section Définir une politique de mot de passe pour les utilisateurs RAM.
Required upon Next Logon : indiquez si l'utilisateur RAM doit réinitialiser son mot de passe lors de sa prochaine connexion.
Enable MFA : indiquez si vous souhaitez activer l'authentification multifacteur (MFA) pour l'utilisateur RAM. Si vous activez la MFA, vous devez également associer un dispositif MFA. Pour plus d'informations, consultez la section Associer un dispositif MFA à un utilisateur RAM.
-
Programmatic Access
Si l'utilisateur RAM représente une application, il peut accéder à Alibaba Cloud par programmation à l'aide d'une AccessKey permanente. Si vous activez cette option, le système génère automatiquement un AccessKey ID et un AccessKey secret pour l'utilisateur RAM. Pour plus d'informations, consultez la section Créer une paire de clés AccessKey.
ImportantL'AccessKey secret d'un utilisateur RAM n'est affiché qu'au moment de la création de la clé AccessKey et ne peut pas être récupéré ultérieurement. Stockez l'AccessKey secret de manière sécurisée.
Une AccessKey est un identifiant permanent pour l'accès programmatique. En cas de fuite d'une AccessKey, toutes les ressources de votre compte sont exposées. Nous vous recommandons d'utiliser des identifiants temporaires, tels qu'un jeton STS, pour réduire le risque de fuite d'identifiants. Pour plus d'informations, consultez la section Bonnes pratiques pour la gestion des identifiants d'accès.
-
Cliquez sur OK.
Étape 4 : Accorder des autorisations à l'utilisateur RAM
L'entreprise B doit accorder l'autorisation AliyunSTSAssumeRoleAccess à son utilisateur RAM avant que celui-ci puisse endosser le rôle RAM créé par l'entreprise A.
Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez .
-
Sur la page Users, localisez l'utilisateur RAM cible et cliquez sur Add Permissions dans la colonne Actions.
Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Add Permissions en bas de la liste des utilisateurs pour accorder des autorisations par lot.
Dans le panneau Create Authorization, dans la section Policy, recherchez et sélectionnez AliyunSTSAssumeRoleAccess sous System Policy, puis cliquez sur OK.
Cliquez sur Close.
Étape 5 : Obtenir le jeton STS
Une fois que l'utilisateur RAM de l'entreprise B dispose de l'autorisation AliyunSTSAssumeRoleAccess, il peut appeler l'opération API AssumeRole pour obtenir un jeton STS. L'utilisateur utilise ensuite ce jeton pour endosser le rôle RAM de l'Étape 1 : Créer un rôle RAM dans l'entreprise A afin d'accéder aux ressources de l'entreprise A.
Pour plus d'informations sur l'appel de l'opération API AssumeRole, consultez la section STS SDK for Java.
Après avoir obtenu l'AccessKey ID, l'AccessKey secret et le SecurityToken à l'aide du SDK STS, utilisez le SDK Simple Log Service pour accéder à Simple Log Service. Pour plus d'informations, consultez la section Aperçu de la référence du SDK.