Resource Access Management:Limitations

Gérer les dépassements de limite de politique

Si le nombre de politiques attachées à un utilisateur RAM, à un groupe d'utilisateurs RAM ou à un rôle RAM atteint la limite, ou si le contenu d'une politique personnalisée dépasse la limite de caractères, appliquez les méthodes suivantes. Demandez d'abord une augmentation de quota pour les limites qui le permettent, puis fusionnez ou raccourcissez les politiques si l'augmentation est insuffisante ou si la limite n'est pas ajustable.

• Augmenter le quota : Accédez à Quota Center, recherchez « Number of system policies that can be attached to a RAM role » ou « Number of custom policies that can be attached to a RAM role », puis soumettez une demande d'augmentation de quota. Vous pouvez augmenter la limite de politique système de 20 à 40 et la limite de politique personnalisée de 10 à 20.

• Fusionner les politiques : Sur la page de gestion des politiques de la console RAM, cliquez sur Create Policy, basculez vers le Script edit mode et fusionnez les actions de plusieurs politiques système en une seule politique personnalisée. Utilisez des caractères génériques tels que oss:Get* pour simplifier la liste des actions et réduire le nombre de caractères.

  Si une augmentation de quota reste insuffisante, par exemple lorsque le nombre de politiques système en lecture seule nécessaires dépasse la limite augmentée, fusionnez les politiques pour réduire davantage le nombre d'emplacements de politique utilisés. Par exemple, fusionnez les autorisations en lecture seule d'API Gateway, de Data Transmission Service (DTS) et d'Auto Scaling (ESS) en une seule politique personnalisée :

  { "Version": "1", "Statement": [ { "Effect": "Allow", "Action": [ "apigateway:Describe", "apigateway:List", "dts:Describe", "dts:List", "ess:Describe", "ess:List" ], "Resource": "*" } ] }

  Cet exemple consolide les autorisations en lecture seule de trois services en une seule politique personnalisée, ce qui économise deux emplacements de politique par rapport à l'attachement séparé de trois politiques système en lecture seule. Le nombre de services qu'une politique personnalisée peut consolider n'est pas fixe. Il est contraint par la limite de caractères du contenu d'une politique personnalisée ; évaluez-le donc en fonction de la longueur réelle de votre liste d'actions.

• Gérer la limite de caractères : Le contenu d'une politique personnalisée ne peut pas dépasser 6 144 caractères et cette limite n'est pas ajustable. Si le contenu fusionné dépasse toujours la limite, divisez-le en plusieurs politiques personnalisées ou utilisez des caractères génériques à la place des noms d'action spécifiques pour raccourcir le contenu.

• Couverture de ReadOnlyAccess : La politique système AliyunReadOnlyAccess utilise des caractères génériques tels que *:Describe*, *:List*, *:Get* et *:Read* pour couvrir la plupart des opérations en lecture seule. Les actions qui ne suivent pas ces conventions de nommage, telles que hbr:BrowseFiles, alikafka:DashboardList, actiontrail:Lookup*, dm:Desc* et hbr:Search*, ne sont pas couvertes automatiquement et doivent être ajoutées séparément à une politique personnalisée.

• Utiliser une seule politique en lecture seule tous produits plutôt qu'une politique en lecture seule par produit : Pour accorder à un utilisateur RAM des autorisations en lecture seule sur tous les produits Alibaba Cloud, attachez la politique système AliyunReadOnlyAccess. Par exemple, vous n'avez pas besoin d'attacher séparément les politiques système en lecture seule OSS et ECS AliyunOSSReadOnlyAccess et AliyunECSReadOnlyAccess. L'attachement d'une politique par produit consomme rapidement le quota de politique système, fixé à 20 politiques système par utilisateur RAM. Une fois la limite atteinte, l'attachement d'une autre politique renvoie l'erreur LimitExceeded.User.Policy. La politique unique AliyunReadOnlyAccess couvre les opérations en lecture seule de la plupart des produits Alibaba Cloud et n'occupe qu'un seul emplacement de politique système.