CloudSSO delegated administration - CloudSSO: Central de Documentação do Alibaba Cloud

Delegue o gerenciamento de permissões a administradores departamentais ao designar um usuário do CloudSSO como administrador de permissões, com escopo restrito a uma pasta específica no diretório de recursos.

Pré-requisitos

Diretório de recursos habilitado com estrutura multiconta para a empresa.

Ative um diretório de recursos, Crie uma pasta, Crie uma conta membro e Convidar uma conta Alibaba Cloud para ingressar em um diretório de recursos.
CloudSSO habilitado e diretório criado.

Ative o CloudSSO e Crie um diretório.
Login efetuado como administrador do CloudSSO.

O administrador do CloudSSO corresponde à conta de gerenciamento que habilitou o serviço ou a um usuário RAM nessa conta com a permissão AliyunCloudSSOFullAccess.

Procedimento

Este exemplo cria um usuário do CloudSSO chamado Dept-1-Admin e o designa como administrador de permissões da pasta Dept-1, com acesso restrito às contas membro dessa pasta.

Crie um usuário do CloudSSO chamado Dept-1-Admin e defina uma senha de logon.

Crie um usuário.

Crie um conjunto de permissões chamado Dept-1-Access.

Crie um conjunto de permissões.

Configure apenas uma política inline. Os exemplos a seguir apresentam dois níveis de permissões delegadas.

Exemplo 1

O usuário Dept-1-Admin não pode gerenciar (criar, modificar ou excluir) outros usuários do CloudSSO, mas pode atribuir permissões a eles para contas membro específicas.

Concede acesso de leitura a contas membro, usuários do CloudSSO e conjuntos de permissões, além de permitir a atribuição de acesso com escopo definido por RDPath.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "resourcemanager:GetResourceDirectory",
        "resourcemanager:ListParents",
        "resourcemanager:ListChildrenForParent",
        "resourcemanager:ListAncestors",
        "resourcemanager:ListAccountRecordsForParent",
        "resourcemanager:GetFolder",
        "resourcemanager:GetAccount",
        "resourcemanager:ListAuthorizedFolders",
        "resourcemanager:ListAccounts",
        "resourcemanager:ListAccountsForParent",
        "resourcemanager:ListFoldersForParent"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ram:ListPolicies",
        "ram:GetPolicyVersion",
        "ram:ListPolicyVersions",
        "ram:GetPolicy"
      ],
      "Resource": "acs:ram:*:system:policy/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloudsso:Get*",
        "cloudsso:List*",
        "cloudsso:CheckRDFeaturePrerequisite"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloudsso:CreateAccessAssignment",
        "cloudsso:DeleteAccessAssignments",
        "cloudsso:DeprovisionAccessConfiguration",
        "cloudsso:ProvisionAccessConfiguration",
        "cloudsso:CreateUserProvisioning",
        "cloudsso:DeleteUserProvisioning",
        "cloudsso:GetUserProvisioningRdAccountStatistics",
        "cloudsso:GetUserProvisioning",
        "cloudsso:UpdateUserProvisioning",
        "cloudsso:GetUserProvisioningStatistics",
        "cloudsso:PreCheckForCreateUserProvisioning",
        "cloudsso:DeleteUserProvisioningEvent",
        "cloudsso:GetUserProvisioningEvent",
        "cloudsso:RetryUserProvisioningEvent",
        "cloudsso:GetTask",
        "cloudsso:GetTaskStatus"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "acs:RDManageScope": [
            "rd-3G****/r-Wm****/fd-Ca2****Q3Y/*"
          ]
        }
      }
    }
  ]
}

Exemplo 2

O usuário Dept-1-Admin pode gerenciar (criar, modificar ou excluir) outros usuários do CloudSSO e atribuir permissões a eles para contas membro específicas.

Concede acesso de leitura a contas membro, usuários do CloudSSO e conjuntos de permissões; acesso de gravação para gerenciar usuários do CloudSSO; e atribuição de acesso com escopo definido por RDPath. Não inclui permissões para gerenciar grupos de usuários.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "resourcemanager:GetResourceDirectory",
        "resourcemanager:ListParents",
        "resourcemanager:ListChildrenForParent",
        "resourcemanager:ListAncestors",
        "resourcemanager:ListAccountRecordsForParent",
        "resourcemanager:GetFolder",
        "resourcemanager:GetAccount",
        "resourcemanager:ListAuthorizedFolders",
        "resourcemanager:ListAccounts",
        "resourcemanager:ListAccountsForParent",
        "resourcemanager:ListFoldersForParent"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ram:ListPolicies",
        "ram:GetPolicyVersion",
        "ram:ListPolicyVersions",
        "ram:GetPolicy"
      ],
      "Resource": "acs:ram:*:system:policy/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloudsso:Get*",
        "cloudsso:List*",
        "cloudsso:CheckRDFeaturePrerequisite",
        "cloudsso:CreateUser",
        "cloudsso:UpdateUser",
        "cloudsso:UpdateUserStatus",
        "cloudsso:DeleteUser",
        "cloudsso:ResetUserPassword",
        "cloudsso:DeleteMFADeviceForUser",
        "cloudsso:UpdateUserMFAAuthenticationSettings"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "cloudsso:CreateAccessAssignment",
        "cloudsso:DeleteAccessAssignments",
        "cloudsso:DeprovisionAccessConfiguration",
        "cloudsso:ProvisionAccessConfiguration",
        "cloudsso:CreateUserProvisioning",
        "cloudsso:DeleteUserProvisioning",
        "cloudsso:GetUserProvisioningRdAccountStatistics",
        "cloudsso:GetUserProvisioning",
        "cloudsso:UpdateUserProvisioning",
        "cloudsso:GetUserProvisioningStatistics",
        "cloudsso:PreCheckForCreateUserProvisioning",
        "cloudsso:DeleteUserProvisioningEvent",
        "cloudsso:GetUserProvisioningEvent",
        "cloudsso:RetryUserProvisioningEvent",
        "cloudsso:GetTask",
        "cloudsso:GetTaskStatus"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "acs:RDManageScope": [
            "rd-3G****/r-Wm****/fd-Ca2****Q3Y/*"
          ]
        }
      }
    }
  ]
}

Importante

Use a chave de condição acs:RDManageScope para especificar o RDPath da pasta ou conta membro gerenciável pelo administrador delegado:

rd-/r-/fd-*/**: todas as contas membro na pasta.
rd-******/r-*****/fd-*****/123******: uma conta membro específica.

Consulte os valores de RDPath em Visualize informações básicas da pasta e Visualize informações de uma conta membro. Nos exemplos acima, rd-3G****/r-Wm****/fd-Ca2****Q3Y é o RDPath da pasta Dept-1. Substitua esse valor pelo RDPath da sua pasta de destino.

Atribua permissões na conta de gerenciamento.

Atribuir permissões para uma conta membro.

Na caixa de diálogo Assign permissions, acesse Select users or groups, selecione a aba Users e escolha Dept-1-Admin.

Em Select permission sets, selecione Dept-1-Access.

Verificação

Faça logon no portal de usuários do CloudSSO como Dept-1-Admin.

Fazer logon no portal de usuários do CloudSSO e acessar recursos da Alibaba Cloud.

No portal de usuários do CloudSSO, clique em na aba Log on with RAM role. Verifique se a management account está listada com o conjunto de permissões Dept-1-Access ativo. Clique em Log on para acessar a conta como uma função RAM.
Tente atribuir permissões a uma conta membro na pasta Dept-1.

A delegação terá êxito se for possível atribuir permissões a contas membro na pasta Dept-1, mas não a contas em outras pastas. Na página Multi-account permission management, selecione DP1-user1 e clique em Assign permissions.

Nota
O administrador delegado pode visualizar toda a árvore do diretório de recursos, mas só pode atribuir permissões a contas membro dentro de sua pasta autorizada.