Tous les produits
Search

Ce produit

    Elastic Desktop Service:Gestion des identités et des accès

    Centre de documentation

    Elastic Desktop Service:Gestion des identités et des accès

    Dernière mise à jour :Oct 12, 2026

    La gestion des identités et des accès restreint l'accès aux ressources Alibaba Cloud aux utilisateurs autorisés, empêchant ainsi les opérations non autorisées et répondant aux exigences d'audit. Elastic Desktop Service (EDS) Enterprise propose les fonctionnalités IAM suivantes.

    Gestion des comptes

    Utiliser un utilisateur RAM comme compte administrateur

    Un compte Alibaba Cloud dispose d'un accès complet à toutes les ressources, ce qui engendre des risques de sécurité. Utilisez un utilisateur RAM en tant qu'administrateur pour vous connecter à la console Elastic Desktop Service (EDS) Enterprise et n'accordez que les autorisations nécessaires.

    • État par défaut : Désactivé

    • Responsabilité de configuration : Client

    • Coût de la fonctionnalité : Gratuit

    • Dépendances : RAM

    • Limites : Aucune

    Cycle de vie des comptes des utilisateurs finaux

    Les administrateurs Elastic Desktop Service (EDS) Enterprise attribuent des ressources cloud, telles que des cloud computers, aux comptes des utilisateurs finaux. Pour maintenir la sécurité tout au long du cycle de vie du compte :

    • Révoquez rapidement les attributions de cloud computers des comptes des utilisateurs finaux.

    • Désactivez les comptes selon les besoins.

    • Supprimez rapidement les comptes qui ne sont plus nécessaires.

    • Responsabilité de configuration : Client

    • Coût de la fonctionnalité : Gratuit

    • Dépendances : Aucune

    • Limites : Aucune

    Comment configurer ou utiliser

    Révoquer les attributions

    1. Connectez-vous à la console EDS Enterprise.

    2. Dans le volet de navigation de gauche, choisissez Resources > Cloud Computers.

    3. Dans la barre de navigation supérieure, sélectionnez une région.

    4. Recherchez le cloud computer à attribuer et cliquez sur More dans la colonne Actions. Ensuite, cliquez sur View/Add User.

    5. Dans le panneau View/Add User, cliquez sur Add User.

    6. Dans la boîte de dialogue Add User, sélectionnez un ou plusieurs utilisateurs et cliquez sur OK.

    Désactiver les comptes

    Si vous devez désactiver temporairement un compte de commodité, vous pouvez le verrouiller.

    • Pour les comptes activés par l'administrateur, vous pouvez définir une date de verrouillage automatique lors de la création ou les verrouiller manuellement à tout moment. Pour les comptes activés par l'utilisateur, vous ne pouvez les verrouiller que manuellement.

    • Après 10 tentatives de mot de passe incorrectes consécutives sur un WUYING Terminal, le système verrouille automatiquement le compte pendant 20 minutes. Le compte est déverrouillé automatiquement à l'issue de cette période.

    Pour verrouiller manuellement un compte de commodité, procédez comme suit :

    1. Dans le volet de navigation de gauche, choisissez User Center > User Management.

    2. Sur l'onglet User de la page User Management, effectuez l'une des opérations suivantes :

      • Compte unique : Recherchez le compte de commodité cible et cliquez sur Lock dans la colonne Actions.

      • Plusieurs comptes : Sélectionnez les comptes de commodité cibles et cliquez sur Lock en bas de la liste.

        Remarque

        Les opérations par lot sont prises en charge uniquement pour les comptes de commodité du même type d'activation.

    3. Dans la boîte de dialogue qui s'affiche, cliquez sur OK.

      Important

      Les utilisateurs finaux ne peuvent pas utiliser un compte de commodité verrouillé pour se connecter à un WUYING Terminal. Procédez avec prudence.

    Supprimer les comptes

    1. Dans le volet de navigation de gauche, choisissez User Center > User Management.

    2. Sur l'onglet User de la page User Management, effectuez l'une des opérations suivantes :

      • Compte unique : Recherchez le compte de commodité cible, cliquez sur l'icône ⋮ dans la colonne Actions, et choisissez Delete.

      • Plusieurs comptes : Sélectionnez les comptes de commodité cibles et choisissez More > Delete en bas de la liste.

        Remarque

        Les opérations par lot sont prises en charge uniquement pour les comptes de commodité du même type d'activation.

    3. Dans la boîte de dialogue qui s'affiche, cliquez sur OK.

      Important

      Si le compte de commodité possède un Enterprise Drive (formerly WUYING Drive) autorisé, la suppression du compte révoque également cette autorisation. Procédez avec prudence.

    Période de validité du mot de passe

    Par défaut, les mots de passe des comptes de commodité n'expirent jamais. Vous pouvez définir une période de validité comprise entre 7 et 365 jours. Lorsqu'un mot de passe expire, l'utilisateur final doit le modifier pour pouvoir se reconnecter.

    • État par défaut : Les mots de passe n'expirent pas

    • Responsabilité de configuration : Client

    • Coût de la fonctionnalité : Gratuit

    • Dépendances : Aucune

    Comment configurer ou utiliser

    1. Connectez-vous à la console EDS Enterprise.

    2. Dans le volet de navigation de gauche, choisissez Users > User Management.

    3. Sur l'onglet User de la page User Management, recherchez le compte de commodité cible et cliquez sur l'icône dans la colonne Password Expiration in N Days.

    4. Dans le panneau qui s'affiche, saisissez une nouvelle période de validité du mot de passe et cliquez sur OK.

    Gestion des autorisations

    Autorisations d'administrateur avec RAM

    Dans Elastic Desktop Service (EDS) Enterprise, utilisez Resource Access Management (RAM) pour un contrôle granulaire des autorisations, permettant à différents utilisateurs RAM de gérer des ressources de cloud computer spécifiques.

    • État par défaut : Désactivé

    • Responsabilité de configuration : Client

    • Coût de la fonctionnalité : Gratuit

    • Dépendances : RAM

    • Limites : Aucune

    Autorisations d'administrateur au sein d'EDS

    Lorsque vous vous connectez à la console Elastic Desktop Service (EDS) avec votre compte Alibaba Cloud, vous disposez de toutes les autorisations pour accéder à toutes les fonctionnalités et gérer toutes les ressources. Pour les grandes organisations aux structures complexes et possédant de nombreux cloud computers, s'appuyer sur un seul administrateur peut générer une charge de travail excessive et potentiellement violer les politiques internes d'isolation des autorisations. Pour résoudre ce problème, vous pouvez créer un ou plusieurs sous-administrateurs afin de partager les tâches de gestion. Cette approche répond généralement aux exigences suivantes :

    • Isolation des autorisations au niveau des fonctionnalités : Par exemple, le sous-administrateur A peut uniquement créer et gérer des utilisateurs, mais pas des cloud computers, tandis que le sous-administrateur B peut uniquement consulter toutes les données.

    • Isolation des autorisations au niveau des données : Par exemple, le sous-administrateur C peut uniquement gérer les cloud computers du département R&D, tandis que le sous-administrateur D peut uniquement gérer les cloud computers du département design.

    Le module de gestion des autorisations dans Elastic Desktop Service (EDS) Enterprise répond à ces exigences.

    • État par défaut : Désactivé

    • Responsabilité de configuration : Client

    • Coût de la fonctionnalité : Gratuit

    • Dépendances : Aucune

    • Limites : Aucune

    Comment configurer ou utiliser

    Important

    EDS Enterprise et WUYING Cloud Phone partagent le même module de gestion hiérarchique des autorisations. Les autorisations configurées dans une console s'appliquent aux fonctionnalités correspondantes des deux produits.

    1. Dans le volet de navigation de gauche, choisissez Security & Audits > Administrator Permissions.

    2. Sur la page Administrator Permissions, cliquez sur Create Administrator, configurez les paramètres suivants, puis cliquez sur Create.

      • Associer à un utilisateur RAM : Les sous-administrateurs ont besoin d'un utilisateur RAM pour se connecter à la console et effectuer des tâches de gestion. Vous pouvez effectuer l'une des opérations suivantes :

        • Sélectionner un utilisateur RAM existant sous le compte Alibaba Cloud actuel : Sélectionnez Existing RAM Users et choisissez un utilisateur dans la liste déroulante.

        • Créer un nouvel utilisateur RAM : Sélectionnez Create RAM User et cliquez sur Confirm.

          Remarque

          Le système envoie le nom d'utilisateur et le mot de passe initial de l'utilisateur RAM à l'adresse e-mail ou au numéro de téléphone mobile que vous fournissez.

      • Pseudonyme : Saisissez le nom d'affichage du sous-administrateur.

      • Rôle : Sélectionnez un rôle intégré ou personnalisé pour le sous-administrateur. Cela détermine les autorisations de fonctionnalité de l'utilisateur.

      • E-mail : Saisissez l'adresse e-mail du sous-administrateur pour recevoir des notifications, telles que les identifiants de connexion de l'utilisateur RAM.

      • (Téléphone facultatif) : Saisissez le numéro de téléphone mobile du sous-administrateur pour recevoir des notifications, telles que les identifiants de connexion de l'utilisateur RAM.

    3. Sur la page Administrator Permissions, recherchez le sous-administrateur que vous avez créé et cliquez sur Actions dans la colonne Manage Authorization.

    4. Dans le panneau Manage Authorization, définissez l'étendue de l'autorisation pour le sous-administrateur et cliquez sur OK. Vous pouvez accorder des autorisations par type de ressource et par groupe de ressources. L'étendue d'autorisation finale du sous-administrateur est l'union des autorisations accordées par les deux méthodes.

      1. Type de ressource : Vous pouvez sélectionner Cloud Computer ou User.

        Important

        Si vous sélectionnez un type de ressource, le sous-administrateur obtient des autorisations de gestion complètes pour toutes les ressources existantes et futures de ce type. Par exemple, si vous sélectionnez Cloud Computer, le sous-administrateur peut gérer tous les cloud computers existants et futurs sous le compte Alibaba Cloud actuel.

      2. Groupe de ressources : Dans la zone Available Resource Group, sélectionnez les groupes de ressources souhaités et cliquez sur l'icône pour les déplacer vers la zone Authorized Resource Group.

    Authentification des identités

    Authentification multifacteur (MFA)

    L'authentification multifacteur (MFA) ajoute un second facteur de vérification lorsque les administrateurs se connectent à la console ou que les utilisateurs finaux se connectent à un terminal. Cette mesure protège les comptes et les ressources cloud au-delà de la simple authentification par mot de passe. La MFA n'affecte pas les appels API effectués avec une paire AccessKey.

    • État par défaut : Désactivé

    • Responsabilité de configuration : Client

    • Coût de la fonctionnalité : Gratuit

    • Dépendances : Aucune

    • Limitations : Aucune

    • Références : Configurer la MFA

    Comment configurer ou utiliser

    MFA pour le compte Alibaba Cloud

    1. Connectez-vous à la console Alibaba Cloud à l'aide de votre compte Alibaba Cloud.

    2. Placez le curseur sur votre photo de profil dans le coin supérieur droit et cliquez sur Security Settings.

    3. Sur la page Security Settings, dans la section Account Protection, cliquez sur Modify.

      Remarque

      L'authentification multifacteur (MFA) a été renommée TOTP.

    4. Sur la page Enable Account Protection, sélectionnez les scénarios nécessitant une protection, choisissez TOTP comme méthode de vérification et cliquez sur OK.

    5. Sur la page Verify Identity, sélectionnez une méthode et suivez les instructions à l'écran pour vérifier votre identité.

    6. Sur la page Install App, cliquez sur Next.

    7. Sur votre appareil mobile, ajoutez un dispositif MFA virtuel.

      Remarque

      Les étapes suivantes utilisent Google Authenticator sur iOS à titre d'exemple.

      1. Ouvrez l'application Google Authenticator.

      2. Appuyez sur Get Started et sélectionnez une méthode pour ajouter un dispositif MFA virtuel.

        • Scanner un code QR (recommandé) : Appuyez sur Scan a QR code et scannez le code QR affiché sur la page Bind MFA de la console Alibaba Cloud.

        • Saisir une clé de configuration : Appuyez sur Enter a setup key, saisissez le compte et la clé, puis appuyez sur Add.

          Remarque

          Sur la page Bind MFA de la console Alibaba Cloud, placez le curseur sur Failed to scan the QR code? pour afficher le compte et la clé.

    8. Dans la console Alibaba Cloud, saisissez le code de vérification dynamique provenant de votre appareil mobile et cliquez sur Next pour terminer la liaison.

      Remarque

      L'application d'authentification sur votre appareil mobile affiche un code de vérification dynamique pour votre compte, qui s'actualise toutes les 30 secondes.

    MFA pour les utilisateurs finaux (Organisation)

    1. Connectez-vous à la .

    2. Dans le volet de navigation de gauche, choisissez Users > Logon.

    3. Sur l'onglet Security de la page Logon, définissez MFA sur Enabled.

    4. Dans la boîte de dialogue de confirmation, sélectionnez une méthode d'authentification.

      1. TOTP

        Utilise une application compatible TOTP, telle que Google Authenticator, pour l'authentification à deux facteurs.

      2. code de vérification par e-mail

        Cette méthode est efficace uniquement pour les clients de bureau V7.6 ou ultérieurs et les clients mobiles V7.3 ou ultérieurs. Elle s'applique aux comptes de convenance et aux comptes AD.

        Remarque

        Si aucune adresse e-mail n'est configurée pour le compte, l'utilisateur ne peut pas effectuer la vérification.

    MFA pour les utilisateurs finaux (Réseau bureautique)

    1. Connectez-vous à la console EDS enterprise.

    2. Dans le volet de navigation de gauche, choisissez Networks & Storage > Office Network.

    3. Dans la barre de navigation supérieure, sélectionnez une région.

    4. Sur la page Office Networks, cliquez sur l'identifiant Office Network ID du réseau bureautique cible.

    5. Dans la section Other Information en bas de la page, activez l'interrupteur MFA et cliquez sur OK dans la boîte de dialogue de confirmation.

      Remarque

      Assurez-vous que la vérification de connexion du client et le SSO sont désactivés.

    Spécifier les terminaux de connexion

    Chaque terminal est identifié par un un identifiant universel unique (UUID), c'est-à-dire un identifiant fiable, infalsifiable et unique à l'échelle mondiale. Activez l'authentification par appareil de confiance pour restreindre chaque utilisateur final à des terminaux spécifiques.

    Comment configurer ou utiliser

    1. Dans le volet de navigation de gauche, choisissez Users > Users.

    2. Sur l'onglet Users, recherchez l'utilisateur. Cliquez sur l'icône ⋮ dans la colonne Actions et choisissez View/Specify Logon Terminal.

    3. Dans le panneau View/Specify Logon Terminal, cliquez sur Add Terminal.

    4. Dans la boîte de dialogue Add Terminal, sélectionnez les clients logiciels (bureau et mobile) à restreindre et cliquez sur OK.

    Vérification de la connexion du client

    Cette fonctionnalité est désactivée par défaut. Lorsqu'elle est activée, les utilisateurs se connectant à un terminal Alibaba Cloud Workspace depuis un nouvel appareil doivent vérifier leur identité à l'aide d'un code envoyé par e-mail.

    • État par défaut : Désactivé

    • Responsabilité de configuration : Client

    • Coût de la fonctionnalité : Gratuit

    • Dépendances : Aucune

    • Limitations :

      Remarque

      Cela ne s'applique qu'aux comptes de convenance utilisant une connexion réseau public.

    • Références : Vérification de la connexion du client

    Comment configurer ou utiliser

    Pour un ID d'organisation

    1. Connectez-vous à la console EDS enterprise.

    2. Dans le volet de navigation de gauche, choisissez Users > Logon.

    3. Sur la page Logon, sélectionnez le bouton radio Security, puis activez l'interrupteur Client Logon Verification.

    4. Dans la boîte de dialogue, confirmez les informations et cliquez sur OK.

    Pour un réseau bureautique

    1. Connectez-vous à la console EDS enterprise.

    2. Dans le volet de navigation de gauche, choisissez Networks & Storage > Office Network.

    3. Dans la barre de navigation supérieure, sélectionnez une région.

    4. Sur la page Office Network, recherchez le réseau bureautique cible et cliquez sur l'identifiant du réseau bureautique.

    5. Dans la section More Information en bas de la page de détails du réseau bureautique, activez l'interrupteur Client Logon Verification.

      Remarque

      Les paramètres SSO, l'authentification multifacteur et la vérification de la connexion du client s'excluent mutuellement. Vous ne pouvez activer qu'une seule de ces méthodes de vérification de connexion pour un réseau bureautique à la fois. En revanche, pour un ID d'organisation, ces fonctionnalités ne s'excluent pas mutuellement et peuvent être activées simultanément.

    6. Dans la boîte de dialogue, confirmez les informations et cliquez sur OK.

    Contrôle d'accès

    Contrôle d'accès des terminaux

    Les stratégies d'ordinateur cloud gèrent l'accès aux terminaux via le contrôle des méthodes de connexion et les listes blanches d'adresses IP. Configurez ces stratégies pour restreindre les utilisateurs finaux à des types de terminaux et des plages d'adresses IP spécifiques.

    • La règle Logon Method Control limite les types de clients Alibaba Cloud Workspace que les utilisateurs finaux peuvent utiliser pour se connecter à leurs ordinateurs cloud.

      Exemple : Pour renforcer la sécurité des informations de l'entreprise, un administrateur configure la règle afin d'autoriser les connexions uniquement depuis le client Windows, le client macOS.

      Si un utilisateur final reçoit un message indiquant que l'administrateur a bloqué la demande de connexion à l'ordinateur cloud actuel, cela signifie que le type de client utilisé n'est pas autorisé par Logon Method Control. Dans la console, accédez à Operations Management > Policies > Modify policy > User Logon Control > Logon Method Control, puis sélectionnez le type de client utilisé par l'utilisateur final. Après avoir modifié la stratégie, l'utilisateur final doit quitter le client et se reconnecter pour que la modification prenne effet.

    • La règle CIDR Block Whitelist limite les plages d'adresses IP à partir desquelles les clients Alibaba Cloud Workspace peuvent se connecter aux ordinateurs cloud.

      Exemple : Pour renforcer la sécurité, un administrateur ajoute la plage d'adresses IP du réseau bureautique à une liste d'autorisation. Cela garantit que les employés ne peuvent se connecter à leurs ordinateurs cloud que depuis le bureau, bloquant ainsi l'accès depuis d'autres emplacements.

    • État par défaut : Désactivé

    • Responsabilité de configuration : Client

    • Coût de la fonctionnalité : Gratuit

    • Dépendances : Aucune

    • Limitations : Aucune

    Comment configurer ou utiliser

    1. Connectez-vous à la console EDS enterprise.

    2. Dans le volet de navigation de gauche, choisissez O&M Management > Policy.

    3. Sur la page Policy, cliquez sur Create Policy.

    4. Sur la page Create Policy, saisissez un Policy Name comme indiqué, configurez les paramètres de la stratégie selon vos besoins, puis cliquez sur OK.

    Paramètre

    Description

    Contrôle de la méthode de connexion

    Limite les types de clients Alibaba Cloud Workspace que les utilisateurs finaux peuvent utiliser. Les options incluent :

    • Client Windows

    • Client macOS

    • Client iOS

    • Client Android

    • Client Web

    Par défaut, toutes les options sont sélectionnées. Vous pouvez désélectionner les types de clients selon vos besoins.

    Liste d'autorisation de blocs CIDR

    Spécifie les plages d'adresses IP à partir desquelles les clients Alibaba Cloud Workspace peuvent se connecter aux ordinateurs cloud.

    Cliquez sur Add CIDR Block. Dans la boîte de dialogue Add CIDR Block, saisissez un Source CIDR Block autorisé, puis cliquez sur OK.

    La plage d'adresses IP doit être un bloc CIDR. Par exemple : 192.0.XX.XX/32 ou 10.0.XX.XX/8.

    Déconnexion automatique déclenchée par le délai d'expiration

    Lorsqu'elle est activée, si un utilisateur final est connecté à un type spécifique de terminal WUYING mais n'est connecté à aucune ressource cloud (ordinateurs cloud, applications cloud, téléphones cloud ou lecteurs d'entreprise), le terminal se déconnecte automatiquement après le délai d'expiration spécifié. Cette fonctionnalité protège les données des ressources cloud.

    • État par défaut : Désactivé

    • Responsabilité de configuration : Client

    • Coût de la fonctionnalité : Gratuit

    • Dépendances : Aucune

    • Limitations : Aucune

    Comment configurer ou utiliser

    1. Connectez-vous à la console EDS enterprise.

    2. Dans le volet de navigation de gauche, choisissez Users > Logon.

    3. Sur la page Logon, cliquez sur l'onglet General. À droite de Logon Settings, cliquez sur Modify Logon Configurations.

    4. Dans le panneau Modify Logon Configurations, effectuez les configurations suivantes et cliquez sur OK.

      Paramètre

      Description

      Déconnexion automatique déclenchée par le délai d'expiration

      Vous pouvez activer ou désactiver cette option.

      Délai d'expiration

      Durée pendant laquelle un utilisateur final n'est connecté à aucune ressource cloud sur le terminal Alibaba Cloud Workspace. Cette option est visible lorsque Timeout-triggered Automatic Logout est activé.

      Terminaux applicables

      Les terminaux Alibaba Cloud Workspace auxquels cette fonctionnalité s'applique.

      Remarque

      Si vous sélectionnez Alibaba Cloud Workspace Hardware Terminal, notez que cette fonctionnalité ne prend effet que sur les terminaux matériels de version V7.5 ou ultérieure. Si le terminal matériel est configuré pour une connexion sans mot de passe, la déconnexion automatique déclenchée par le délai d'expiration ne prend pas effet.
      Remarque

      • Après avoir configuré la déconnexion automatique déclenchée par le délai d'expiration pour le client, le paramètre prend effet lors de la prochaine connexion de l'utilisateur final.

      • Avant l'expiration du délai, l'utilisateur final reçoit un rappel. L'utilisateur peut choisir d'interrompre le processus. Si l'utilisateur ne prend aucune mesure, le client se déconnecte automatiquement.