Gérer les cloud computers avec des politiques au niveau des ressources - Elastic Desktop Service

Lorsque plusieurs utilisateurs partagent des ressources, accordez-leur des autorisations adaptées à leurs rôles et responsabilités afin d'améliorer l'efficacité de la gestion et de réduire les risques de fuite de données. Les politiques au niveau des ressources vous permettent de contrôler les ressources de cloud computer auxquelles chaque utilisateur RAM peut accéder et sur lesquelles il peut intervenir.

Prérequis

Vous avez créé un utilisateur RAM. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM.

Contexte

Alibaba Cloud gère les autorisations des utilisateurs à l'aide de politiques. Vous pouvez configurer des politiques Resource Access Management (RAM) pour différents rôles, créer des politiques personnalisées au niveau des ressources et les associer à un utilisateur ou à un groupe d'utilisateurs RAM. Pour plus d'informations, consultez la rubrique Présentation des politiques.
Bien que RAM prenne en charge l'autorisation au niveau des actions, les politiques au niveau des ressources offrent un contrôle plus granulaire sur vos ressources de cloud computer. Pour plus d'informations sur RAM, consultez la rubrique Qu'est-ce que RAM ?.

Limites

Cette fonctionnalité est disponible uniquement dans les régions suivantes :

Région

ID de région

Chine (Hangzhou)

cn-hangzhou

Chine (Shanghai)

cn-shanghai

Chine (Shenzhen)

cn-shenzhen

Chine (Pékin)

cn-beijing

Singapour

ap-southeast-1

Japon (Tokyo)

ap-northeast-1

Philippines (Manille)

ap-southeast-6

Exemples

Les scénarios suivants illustrent la mise en œuvre de politiques au niveau des ressources.

Description du scénario

Description des autorisations

Scénario 1 : Vous créez d'abord des cloud computers, puis configurez une politique au niveau des ressources. Par exemple, vous créez deux cloud computers :

Cloud Computer 1 : nommé desktop1.
Cloud Computer 2 : nommé desktop2.

Autorise un utilisateur à effectuer toutes les opérations sur le Cloud Computer 1 (desktop1), mais refuse toutes les opérations sur le Cloud Computer 2 (desktop2).

Scénario 2 : Vous configurez d'abord une politique au niveau des ressources, puis créez des cloud computers.

Autorise un utilisateur à créer des cloud computers uniquement dans une région spécifique, telle que Shanghai, mais lui interdit d'en créer dans d'autres régions, comme Hangzhou.

Scénario 1 : Créer des cloud computers, puis configurer la politique

Créez deux cloud computers. Pour plus d'informations, consultez la rubrique Créer des cloud computers.

Nommez les deux cloud computers desktop1 et desktop2.

Créez une politique personnalisée. Pour plus d'informations, consultez la rubrique Créer une politique personnalisée.

Cette politique personnalisée permet à un utilisateur de consulter, modifier et supprimer le cloud computer nommé desktop1 via la console Elastic Desktop Service (EDS) ou en appelant une opération API, tout en refusant ces opérations pour desktop2.

Le code suivant présente un exemple de politique :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecd:*",
      "Resource": "acs:ecd:cn-shanghai:128985087662****:ecddesktop/ecd-akk6qnr7cc9yq****"
    },
    {
      "Effect": "Deny",
      "Action": "ecd:*",
      "Resource": "acs:ecd:cn-shanghai:128985087662****:ecddesktop/ecd-3d3y5w4vd56a8****"
    },
    {
      "Action": "*",
      "Effect": "Allow",
      "Resource": [
        "acs:ecd:*:*:officesite/*",
        "acs:ecd:*:*:ecdpolicy/*",
        "acs:ecd:*:*:ecdimage/*",
        "acs:ecd:*:*:ecdbundle/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecd:DescribeRegions"
      ],
      "Resource": "*"
    }
  ]
}

Accordez la politique personnalisée à l'utilisateur RAM dont vous souhaitez contrôler l'accès. Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.
Dans la console Elastic Desktop Service (EDS) ou en appelant une opération API, consultez, modifiez et supprimez desktop1 et desktop2.

Vous pouvez consulter, modifier et supprimer desktop1, mais pas desktop2. Toute tentative d'exécution de ces opérations sur desktop2 renvoie l'erreur User not authorized to operate on the specified resource..

Scénario 2 : Configurer la politique, puis créer des cloud computers

Connectez-vous à la console RAM.

Créez une politique personnalisée. Pour plus d'informations, consultez la rubrique Créer une politique personnalisée.

Cette politique personnalisée permet à un utilisateur de gérer des cloud computers (création, consultation et suppression) dans la région Chine (Shanghai) via la console Elastic Desktop Service (EDS) ou des appels API, tout en refusant ces opérations dans la région Chine (Hangzhou).

Le code suivant présente un exemple de politique :

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ecd:*",
            "Resource": "acs:ecd:cn-shanghai:128985087662****:*"
        },
        {
            "Effect": "Deny",
            "Action": "ecd:*",
            "Resource": "acs:ecd:cn-hangzhou:128985087662****:*"
        },
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": [
                "acs:ecd:*:*:officesite/*",
                "acs:ecd:*:*:ecdpolicy/*",
                "acs:ecd:*:*:ecdimage/*",
                "acs:ecd:*:*:ecdbundle/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecd:DescribeRegions"
            ],
            "Resource": "*"
        }
    ]
}

Accordez la politique personnalisée à l'utilisateur RAM dont vous souhaitez contrôler l'accès. Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.
Créez un cloud computer via la console Elastic Desktop Service (EDS) ou en appelant une opération API.

Vous pouvez créer, consulter ou supprimer des cloud computers dans la région Chine (Shanghai), mais pas dans la région Chine (Hangzhou). Toute tentative d'exécution de ces opérations dans la région Chine (Hangzhou) renvoie l'erreur User not authorized to operate on the specified resource..