Comment créer un utilisateur RAM et lui accorder des autorisations pour accéder à Simple Log Service - Simple Log Service

Un utilisateur Resource Access Management (RAM) ne peut pas accéder à Simple Log Service tant que vous ne lui avez pas accordé les autorisations nécessaires.

Prérequis

Disposer d'un compte Alibaba Cloud. Connectez-vous avec votre compte Alibaba Cloud pour créer un utilisateur RAM et lui accorder des autorisations.

Contexte

Vous devrez peut-être déléguer les opérations et la maintenance (O&M) de Simple Log Service à d'autres ingénieurs. Créez un utilisateur RAM pour chaque ingénieur, puis accordez-lui les autorisations nécessaires pour Simple Log Service.

Par bonne pratique, appliquez le principe du moindre privilège et n'accordez à un utilisateur RAM que les autorisations dont il a strictement besoin. Pour plus d'informations sur les utilisateurs RAM, consultez la rubrique Présentation.

Étape 1 : Créer un utilisateur RAM

Connectez-vous à la console RAM avec votre compte Alibaba Cloud ou en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, sélectionnez Identities > Users.
Sur la page Users, cliquez sur Create User.
Dans la section User Account Information de la page Create User, configurez les informations de base de l'utilisateur.
- Logon Name : Le nom de connexion peut contenir des lettres, des chiffres, des points (.), des traits d'union (-) et des traits de soulignement (_), et sa longueur maximale est de 64 caractères.
- Display Name : Le nom d'affichage peut comporter jusqu'à 128 caractères.
- Tag : Cliquez sur et saisissez une clé de tag ainsi qu'une valeur de tag. Les tags vous aident à gérer les utilisateurs RAM par étiquetage.
Remarque
Pour créer plusieurs utilisateurs RAM simultanément, cliquez sur Add User.
Dans la section Access Mode, sélectionnez un mode d'accès et configurez les paramètres associés.
Par mesure de sécurité, ne sélectionnez qu'un seul des modes d'accès suivants. Maintenez une séparation stricte entre les utilisateurs humains et les utilisateurs applicatifs.
- Console Access
  
  Si l'utilisateur RAM représente une personne physique, activez l'accès à la console afin qu'il puisse accéder à Alibaba Cloud avec un nom d'utilisateur et un mot de passe. Configurez les paramètres suivants :
  - Mot de passe de connexion à la console : Choisissez entre un mot de passe généré automatiquement ou un mot de passe personnalisé. Un mot de passe personnalisé doit respecter les exigences de complexité. Pour plus d'informations, consultez la rubrique Configurer une stratégie de mot de passe pour les utilisateurs RAM.
  - Réinitialisation du mot de passe : Indiquez si l'utilisateur RAM doit réinitialiser son mot de passe lors de sa prochaine connexion.
  - Authentification multifacteur (MFA) : Indiquez si vous souhaitez activer la MFA pour l'utilisateur RAM. Une fois la MFA activée, le compte Alibaba Cloud ou l'utilisateur RAM doit associer un dispositif MFA à l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Associer un dispositif MFA à un utilisateur RAM.
- OpenAPI Access
  
  Si l'utilisateur RAM représente une application, activez l'accès OpenAPI afin que l'application puisse accéder à Alibaba Cloud via une paire de clés AccessKey. Lorsque l'accès OpenAPI est activé, le système génère automatiquement un ID de clé AccessKey et un secret AccessKey pour l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Créer une clé AccessKey.
  
  Important
  Le secret AccessKey d'un utilisateur RAM n'est affiché qu'au moment de la création de la paire de clés et ne peut plus être consulté par la suite. Conservez-le en toute sécurité.
Cliquez sur OK.
Effectuez la vérification de sécurité comme indiqué à l'écran.

Étape 2 : Accorder des autorisations à l'utilisateur RAM

Par défaut, un nouvel utilisateur RAM ne dispose d'aucune autorisation. Attachez une stratégie système de Simple Log Service à l'utilisateur RAM en fonction de ses responsabilités :

AliyunLogFullAccess — Accorde les autorisations de gestion complète de Simple Log Service. Attachez cette stratégie aux ingénieurs chargés de l'O&M de Simple Log Service.
AliyunLogReadOnlyAccess — Accorde des autorisations en lecture seule sur Simple Log Service. Attachez cette stratégie aux utilisateurs RAM qui doivent accéder à Simple Log Service sans le gérer.

Utilisez l'une des méthodes suivantes pour attacher la stratégie à l'utilisateur RAM.

Méthode 1 : Accorder des autorisations à un utilisateur RAM depuis la page Utilisateurs RAM

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, sélectionnez Identities > Users.
Sur la page Users, localisez l'utilisateur RAM et cliquez sur Add Permissions dans la colonne Actions.

Pour accorder des autorisations à plusieurs utilisateurs RAM simultanément, sélectionnez les utilisateurs concernés et cliquez sur Add Permissions sous la liste des utilisateurs.
Dans le panneau Grant Permission, accordez les autorisations à l'utilisateur RAM.
1. Sélectionnez une portée de ressource.
  - Account : Les autorisations s'appliquent au sein du compte Alibaba Cloud actuel.
  - Resource Group : Les autorisations s'appliquent au sein du groupe de ressources spécifié.
    
    Important
    Les autorisations accordées sur un groupe de ressources ne prennent effet que si le service cloud et le type de ressource prennent en charge les groupes de ressources. Pour plus d'informations, consultez la rubrique Services compatibles avec Resource Group. Pour un exemple d'attribution d'autorisations sur un groupe de ressources, consultez la rubrique Contrôler l'accès des utilisateurs RAM à des instances ECS spécifiques.
2. Sélectionnez les principaux.
  
  Un principal correspond à l'utilisateur RAM auquel vous souhaitez accorder des autorisations. L'utilisateur RAM actuel est automatiquement sélectionné.
3. Sélectionnez les stratégies.
  
  Une stratégie est un ensemble d'autorisations d'accès. Il existe deux types de stratégies. Vous pouvez en sélectionner plusieurs simultanément.
  - Stratégie système : Créée par Alibaba Cloud. Alibaba Cloud assure la maintenance des versions de la stratégie. Vous pouvez utiliser les stratégies système, mais vous ne pouvez pas les modifier. Pour plus d'informations, consultez la rubrique Services prenant en charge RAM.
    
    Remarque
    Le système signale automatiquement les stratégies système à haut risque, telles que AdministratorAccess et AliyunRAMFullAccess. Évitez d'accorder des stratégies à haut risque non nécessaires.
  - Stratégie personnalisée : Gérée par vos soins. Vous maintenez les versions de la stratégie et pouvez créer, mettre à jour et supprimer des stratégies personnalisées. Pour plus d'informations, consultez la rubrique Créer une stratégie personnalisée.
4. Cliquez sur Grant permissions.
Cliquez sur Close.

Méthode 2 : Accorder des autorisations à un utilisateur RAM depuis la page d'autorisation

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, sélectionnez Permissions > Grants.
Sur la page Grants, cliquez sur Grant Permission.
Dans le panneau Grant Permission, accordez les autorisations à l'utilisateur RAM.
1. Sélectionnez une portée de ressource.
  - Account : Les autorisations s'appliquent au sein du compte Alibaba Cloud actuel.
  - Resource Group : Les autorisations s'appliquent au sein du groupe de ressources spécifié.
    
    Important
    Les autorisations accordées sur un groupe de ressources ne prennent effet que si le service cloud et le type de ressource prennent en charge les groupes de ressources. Pour plus d'informations, consultez la rubrique Services compatibles avec Resource Group. Pour un exemple d'attribution d'autorisations sur un groupe de ressources, consultez la rubrique Contrôler l'accès des utilisateurs RAM à des instances ECS spécifiques.
2. Sélectionnez les principaux.
  
  Un principal correspond à l'utilisateur RAM auquel vous souhaitez accorder des autorisations. Vous pouvez sélectionner plusieurs utilisateurs RAM simultanément.
3. Sélectionnez les stratégies.
  
  Une stratégie est un ensemble d'autorisations d'accès. Il existe deux types de stratégies. Vous pouvez en sélectionner plusieurs simultanément.
  - Stratégie système : Créée par Alibaba Cloud. Alibaba Cloud assure la maintenance des versions de la stratégie. Vous pouvez utiliser les stratégies système, mais vous ne pouvez pas les modifier. Pour plus d'informations, consultez la rubrique Services prenant en charge RAM.
    
    Remarque
    Le système signale automatiquement les stratégies système à haut risque, telles que AdministratorAccess et AliyunRAMFullAccess. Évitez d'accorder des stratégies à haut risque non nécessaires.
  - Stratégie personnalisée : Gérée par vos soins. Vous maintenez les versions de la stratégie et pouvez créer, mettre à jour et supprimer des stratégies personnalisées. Pour plus d'informations, consultez la rubrique Créer une stratégie personnalisée.
4. Cliquez sur Grant permissions.
Cliquez sur Close.

Accorder des autorisations granulaires avec une stratégie personnalisée

Si les stratégies système de Simple Log Service ne répondent pas à vos besoins, créez une stratégie personnalisée pour mettre en œuvre une gestion fine des autorisations. Pour obtenir des instructions, consultez la rubrique Créer une stratégie personnalisée. Pour des exemples de stratégies d'autorisation, consultez les rubriques Exemples de stratégies RAM personnalisées et Stratégies d'autorisation RAM pour Simple Log Service.

Étapes suivantes

Une fois les autorisations accordées à l'utilisateur RAM, celui-ci peut se connecter à la console avec ses identifiants et accéder à Simple Log Service. Pour obtenir des instructions, consultez la rubrique Se connecter à la console Alibaba Cloud en tant qu'utilisateur RAM.