Elastic Desktop Service:Contrôle d'accès avec le module d'autorisations EDS

Cas d'utilisation

Lorsque vous vous connectez à la console Elastic Desktop Service (EDS) avec votre compte Alibaba Cloud, vous disposez de toutes les autorisations nécessaires pour accéder à l'ensemble des fonctionnalités et gérer toutes les ressources. Pour les grandes organisations aux structures complexes et comptant de nombreux cloud computers, s'appuyer sur un seul administrateur peut générer une charge de travail excessive et risque de violer les politiques internes d'isolation des autorisations. Pour résoudre ce problème, créez un ou plusieurs sous-administrateurs afin de partager les tâches de gestion. Cette approche répond généralement aux exigences suivantes :

• Isolation des autorisations au niveau des fonctionnalités : par exemple, le sous-administrateur A peut uniquement créer et gérer des utilisateurs, mais pas les cloud computers, tandis que le sous-administrateur B peut uniquement consulter toutes les données.

• Isolation des autorisations au niveau des données : par exemple, le sous-administrateur C peut uniquement gérer les cloud computers du département R&D, tandis que le sous-administrateur D peut uniquement gérer les cloud computers du département Design.

Solution

Le module de gestion des autorisations d'Elastic Desktop Service (EDS) est conçu pour répondre à ces besoins.

Ce module aborde ces défis selon les dimensions suivantes :

• Dimension personnelle : créez des sous-administrateurs. Le rôle attribué à un sous-administrateur définit ses autorisations au niveau des fonctionnalités, tandis que les groupes de ressources qu'il est autorisé à gérer définissent ses autorisations au niveau des données.

• Dimension fonctionnelle : utilisez des rôles intégrés ou créez des rôles personnalisés. Un rôle est un ensemble d'autorisations qui définit les modules de la console auxquels un utilisateur peut accéder et les actions qu'il peut effectuer. Cela permet de mettre en œuvre l'isolation des autorisations au niveau des fonctionnalités. Les rôles intégrés incluent :

  • Super Administrator : dispose de toutes les autorisations pour utiliser toutes les fonctionnalités et gérer toutes les ressources cloud. Seul le Super Administrator peut créer et gérer d'autres administrateurs.

  • System Administrator : dispose des autorisations nécessaires pour gérer les ressources cloud, autoriser l'accès aux ressources, surveiller l'état du système et effectuer des tâches d'exploitation et de maintenance (O&M). Il ne dispose pas de l'autorisation de créer ou de gérer des utilisateurs.

  • Security Audit Administrator : dispose d'une autorisation en lecture seule et ne peut effectuer aucune opération.

  • Security Administrator : dispose des autorisations nécessaires pour créer et gérer des utilisateurs et surveiller l'état du traitement des données de sécurité, mais ne peut pas gérer les ressources cloud.

• Dimension des données : créez des groupes de ressources. Un groupe de ressources est un ensemble de ressources de cloud computer utilisé pour mettre en œuvre l'isolation des autorisations.

Par conséquent, le module de gestion des autorisations vous permet de traiter facilement les cas d'utilisation décrits ci-dessus.

Créer un rôle

Utilisez des rôles intégrés ou créez des rôles personnalisés selon vos besoins. Attribuez ensuite des rôles aux sous-administrateurs afin de mettre en œuvre l'isolation des autorisations au niveau des fonctionnalités.

1. Connectez-vous à la console entreprise EDS.

2. Dans le volet de navigation de gauche, choisissez Security & Audits > Administrator Permissions. Sur la page Administrator Permissions, cliquez sur l'onglet Role.

3. Sur l'onglet Role, cliquez sur Create Role, configurez les paramètres suivants, puis cliquez sur OK.

   • Name : saisissez un nom pour le rôle.

   • Parent Role : sélectionnez un rôle parent parmi les rôles intégrés.

     Lorsque vous sélectionnez un rôle parent, le système charge ses autorisations dans la section Configure Permission pour vous permettre de les personnaliser.

   • (Optional) Description : saisissez une description pour le rôle afin de le distinguer des autres.

Créer un groupe de ressources

Créez des groupes de ressources et ajoutez-y des cloud computers selon vos besoins. Autorisez ensuite les sous-administrateurs à accéder à des groupes de ressources spécifiques afin de mettre en œuvre l'isolation des autorisations au niveau des données.

1. Dans le volet de navigation de gauche, choisissez Resources > Resource Group.

2. Sur la page Resource Group, cliquez sur Create Resource Group et saisissez un Name dans la boîte de dialogue qui s'affiche.

   Remarque

   Exigences relatives au nom : le nom peut comporter jusqu'à 30 caractères. Il doit commencer par une lettre majuscule ou minuscule ou un caractère chinois, et ne peut pas commencer par http:// ou https://. Les caractères pris en charge incluent les caractères chinois, les lettres anglaises, les chiffres, les deux-points (:), les traits de soulignement (_), les points (.) et les tirets (-).

3. Dans la boîte de dialogue Configure Resources and Authorize, cliquez sur Go Now.

4. Sur l'onglet Resource Management, cliquez sur Transfer In, sélectionnez les cloud computers que vous souhaitez ajouter au groupe de ressources, puis cliquez sur OK.

Créer et autoriser un sous-administrateur

Lors de la création d'un sous-administrateur, attribuez un rôle pour l'isolation des autorisations au niveau des fonctionnalités et accordez des autorisations basées sur les types de ressources et les groupes de ressources pour l'isolation des autorisations au niveau des données.

1. Dans le volet de navigation de gauche, choisissez Security & Audits > Administrator Permissions.

2. Sur la page Administrator Permissions, cliquez sur Create Administrator, configurez les paramètres suivants, puis cliquez sur Create.

   • Associate with RAM User : les sous-administrateurs ont besoin d'un utilisateur RAM pour se connecter à la console et effectuer des tâches de gestion. Effectuez l'une des opérations suivantes :

     • Sélectionner un utilisateur RAM existant sous le compte Alibaba Cloud actuel : sélectionnez Existing RAM Users et choisissez un utilisateur dans la liste déroulante.

     • Créer un nouvel utilisateur RAM : sélectionnez Create RAM User et cliquez sur Confirm.

       Remarque

       Le système envoie le nom d'utilisateur et le mot de passe initial de l'utilisateur RAM à l'adresse e-mail ou au numéro de mobile que vous fournissez.

   • Nickname : saisissez le nom d'affichage du sous-administrateur.

   • Role : sélectionnez un rôle intégré ou personnalisé pour le sous-administrateur. Cela détermine les autorisations fonctionnelles de l'utilisateur.

   • Email : saisissez l'adresse e-mail du sous-administrateur pour recevoir des notifications, telles que les identifiants de connexion de l'utilisateur RAM.

   • (Optional) Phone : saisissez le numéro de mobile du sous-administrateur pour recevoir des notifications, telles que les identifiants de connexion de l'utilisateur RAM.

3. Sur la page Administrator Permissions, recherchez le sous-administrateur que vous avez créé et cliquez sur Actions dans la colonne Manage Authorization.

4. Dans le panneau Manage Authorization, définissez l'étendue de l'autorisation pour le sous-administrateur et cliquez sur OK. Vous pouvez accorder des autorisations par type de ressource et par groupe de ressources. L'étendue finale de l'autorisation du sous-administrateur correspond à l'union des autorisations accordées par les deux méthodes.

   1. Resource Type : vous pouvez sélectionner Cloud Computer ou User.

      Important

      Si vous sélectionnez un type de ressource, le sous-administrateur obtient des autorisations de gestion complètes pour toutes les ressources existantes et futures de ce type. Par exemple, si vous sélectionnez Cloud Computer, le sous-administrateur peut gérer tous les cloud computers existants et futurs sous le compte Alibaba Cloud actuel.

   2. Resource Group : dans la zone Available Resource Group, sélectionnez les groupes de ressources souhaités et cliquez sur l'icône pour les déplacer vers la zone Authorized Resource Group.