Server Migration Center:Fine-grained access control with tags

Prérequis

Un utilisateur RAM doit être créé sous votre compte Alibaba Cloud. Créer un utilisateur RAM.

Contexte

Les tags permettent d'identifier et de catégoriser les ressources cloud. Les politiques Resource Access Management (RAM) contrôlent les autorisations d'accès et d'exploitation. L'ajout de tags en tant que conditions dans les politiques RAM permet un contrôle d'accès granulaire.

Exemple de cas d'utilisation

Le scénario suivant illustre le contrôle d'accès basé sur les tags.

Étape 1 : Créer et attribuer une politique personnalisée

Créez une politique personnalisée dans la console RAM ou appelez l'opération API CreatePolicy. Les détails de la politique figurent dans la section Configuration de la politique.

1. Connectez-vous à la console RAM avec votre compte Alibaba Cloud.

2. Dans le volet de navigation de gauche, choisissez Permissions > Policies.

3. Sur la page Policies, cliquez sur Create Policy.

4. Sur la page Create Policy, cliquez sur l'onglet JSON.

5. Configurez la politique.

   Une politique se compose d'un numéro de version et d'instructions. Chaque instruction comprend un effet (Effect), une action (Action), une ressource (Resource) et éventuellement une condition (Condition), comme décrit dans les sections Éléments de politique et Structure et syntaxe des politiques.

   1. Après avoir modifié le document de politique selon vos besoins, cliquez sur OK.

      Dans le bloc Condition, ajoutez des conditions basées sur les tags pour restreindre les autorisations. Le tableau suivant décrit les clés de condition prises en charge.

      |
      **Clé de condition**
      |
      **Description**
      | | --- | --- | |
      `acs:RequestTag`
      |
      La requête doit inclure un tag spécifique.
      
      
      Si une opération API ne prend pas en charge les tags dans les requêtes, vous ne pouvez pas utiliser cette clé de condition. Dans le cas contraire, l'authentification échouera.
      | |
      `acs:ResourceTag`
      |
      La ressource consultée doit comporter un tag spécifique.
      
      
      Si une opération API ne nécessite pas d'ID de ressource dans la requête, vous ne pouvez pas utiliser cette clé de condition. Dans le cas contraire, l'authentification échouera.
      |

      Remarque

      Choisissez acs:RequestTag ou acs:ResourceTag en fonction de l'opération API, selon qu'elle nécessite un ID de ressource ou prend en charge les tags dans la requête. Authentification basée sur les tags pour les opérations API.

      {
          "Statement": [
              {
                  "Action": "smc:CreateReplicationJob",
                  "Condition": {
                      "StringEquals": {
                          "acs:RequestTag/smc": "test"
                      }
                  },
                  "Effect": "Allow",
                  "Resource": "*"
              },
              {
                  "Action": "smc:*",
                  "Condition": {
                      "StringEquals": {
                          "acs:ResourceTag/smc": "test"
                      }
                  },
                  "Effect": "Allow",
                  "Resource": "*"
              },
              {
                "Action": [
                      "*:TagResources",
                      "*:UntagResources"  
                   ],
                  "Effect": "Deny",
                  "Resource": "*"
              },
              {
                  "Action": [
                      "*:List*",
                      "*:Describe*"
                  ],
                  "Effect": "Allow",
                  "Resource": "*"
              }
          ],
          "Version": "1"
      }

      La politique précédente met en œuvre les contrôles d'autorisation suivants.

      Scénario	Politique
      Scénario 1 : Autorise la création d'une tâche de migration uniquement si le tag smc:test est ajouté lors de la création.	{ "Statement": [ { "Action": "smc:CreateReplicationJob", "Condition": { "StringEquals": { "acs:RequestTag/smc": "test" } }, "Effect": "Allow", "Resource": "*" }, { "Action": [ "*:List*", "*:Describe*" ], "Effect": "Allow", "Resource": "*" } ], "Version": "1" }
      Scénario 2 : Autorise les opérations (telles que la modification des propriétés et la suppression des ressources) uniquement sur les ressources SMC portant le tag smc:test. Les opérations sur les autres ressources SMC sont refusées.	{ "Statement": [ { "Action": "smc:*", "Condition": { "StringEquals": { "acs:ResourceTag/smc": "test" } }, "Effect": "Allow", "Resource": "*" }, { "Action": [ "*:TagResources", "*:UntagResources" ], "Effect": "Deny", "Resource": "*" }, { "Action": [ "*:List*", "*:Describe*" ], "Effect": "Allow", "Resource": "*" } ], "Version": "1" }

      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      

   2. Dans la boîte de dialogue Create Policy, saisissez un nom et une description pour la politique, puis cliquez sur OK.

6. Joignez la politique personnalisée à l'utilisateur RAM.

   1. Dans le volet de navigation de gauche, choisissez Identities > Users.

   2. Joignez la politique personnalisée nouvellement créée à l'utilisateur RAM.

      Gérer les autorisations des utilisateurs RAM.

Étape 2 : Vérifier la politique

1. Connectez-vous à la console SMC ou à OpenAPI Explorer en tant qu'utilisateur RAM.

   Cet exemple utilise la console SMC pour la vérification.

2. Vérifiez que la politique fonctionne correctement.

   Testez les autorisations suivantes :

   • Créer une tâche de migration :

     • Pour une source de migration portant le tag smc:test, vous pouvez créer une tâche de migration.

     • Pour une source de migration ne portant pas le tag smc:test ou portant d'autres tags, vous ne pouvez pas créer de tâche de migration. Le message d'erreur You are not authorized to perform this operation. Contact your Alibaba Cloud account to grant the required permissions and then try again. s'affiche. Cliquez sur Go to RAM for Authorization pour accorder les autorisations.

   • Supprimer une source de migration :

     • Vous pouvez supprimer une source de migration portant le tag smc:test.

     • Si vous tentez de supprimer une source de migration ne portant pas le tag smc:test, l'opération échoue. Une boîte de dialogue Error apparaît avec le message « You are not authorized to perform this operation. Contact your Alibaba Cloud account to grant the required permissions and then try again. ». Cliquez sur OK pour fermer la boîte de dialogue.

Authentification basée sur les tags pour les opérations API