Application Real-Time Monitoring Service:Políticas personalizadas de RAM para ARMS

¿Qué es una política personalizada?

Las políticas de Resource Access Management (RAM) se clasifican en políticas del sistema y políticas personalizadas. Usted puede gestionar las políticas personalizadas según sus necesidades empresariales.

• Después de crear una política personalizada, debe vincularla a un usuario de RAM, un grupo de usuarios de RAM o un rol de RAM. De este modo, los permisos especificados en la política se otorgan al principal.

• Puede eliminar una política de RAM que no esté vinculada a un principal. Si la política está vinculada, primero debe desvincularla del principal antes de eliminarla.

• Las políticas personalizadas admiten control de versiones. Puede gestionar las versiones de estas políticas mediante el mecanismo de gestión de versiones proporcionado por RAM.

Referencias

• Create a custom policy

• Modify a custom policy

• Delete a custom policy

• Manage policy grants

• Manage custom policy versions

Requisitos previos

• Antes de crear una política personalizada, familiarícese con la estructura básica y la sintaxis de las políticas de permisos. Para obtener más información, consulte Basic elements of a permission policy.

• El usuario de RAM debe tener vinculada la política del sistema ReadOnlyAccess o AliyunARMSReadOnlyAccess para iniciar sesión en la consola de ARMS.

  Importante

  Para otorgar permisos de solo lectura sobre todas las funciones de ARMS a un resource group específico, debe vincular la política AliyunARMSReadOnlyAccess y conceder el permiso ReadTraceApp al resource group. De lo contrario, ARMS no podrá mostrar la lista de aplicaciones que pertenecen al resource group autenticado.

• Asegúrese de que la política del sistema AliyunARMSFullAccess no esté vinculada al usuario de RAM.

Contexto

ARMS proporciona políticas del sistema que otorgan permisos generales. Si estas políticas no satisfacen sus necesidades, puede crear políticas personalizadas. Por ejemplo, para controlar los permisos de un usuario de RAM sobre una aplicación específica, es necesario utilizar una política personalizada.

Paso 1: Crear una política personalizada

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, vaya a Permissions > Policies.

3. En la página Policies, haga clic en Create Policy.

4. En la página Create Policy, haga clic en la pestaña JSON. Escriba el contenido de su política en el editor de políticas.

   Para obtener más información sobre los elementos de una política de permisos, consulte Policy elements.

   Ejemplo: Esta política otorga permisos de solo lectura sobre aplicaciones en la región China (Hangzhou) que tienen la etiqueta key0: value01 o key0: value02.

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "arms:ReadTraceApp"
         ],
         "Resource": "acs:arms:cn-hangzhou:*:armsapp/*",
         "Effect": "Allow",
         "Condition": {
           "StringEquals": {
             "arms:tag/key0":[
               "value01",
               "value02"
             ]
           }
         }
       }
     ]
   }

5. En la parte superior de la página, haga clic en Optimize y luego en Perform para aplicar una optimización avanzada a la política.

   La función de optimización avanzada de políticas realiza las siguientes tareas:

   • Divide recursos o condiciones para acciones incompatibles.

   • Reduce el alcance de los recursos.

   • Elimina declaraciones duplicadas o combina declaraciones.

6. En la página Create Policy, haga clic en OK.

7. En el cuadro de diálogo Create Policy, introduzca un policy name y una Description, y luego haga clic en OK.

Paso 2: Vincular una política de permisos

Vincular una política de permisos a un usuario de RAM

Vincular una política de permisos a un rol de RAM

Después de vincular una política de permisos a un rol de RAM, puede usar dicho rol para iniciar sesión en la consola de ARMS. Para obtener más información, consulte Assume a RAM role.

Elementos de la política de permisos

Effect

El efecto de la autorización puede ser Allow o Deny.

Action

Resource

Especifica el objeto al que se aplica la autorización.

El formato es el siguiente:

"Resource": [
     "acs:arms:<regionid>:*:armsapp/<appname>"
 ]

• Reemplace <regionid> con el ID de una región específica. Para otorgar permisos sobre recursos en todas las regiones, utilice un asterisco (*).

• Reemplace <appname> con el nombre de una aplicación específica. Para otorgar permisos sobre todas las aplicaciones, utilice un asterisco (*). Si la autorización aplica a aplicaciones que comparten un prefijo de nombre, use prefix*, como k8s*.

Condition

ARMS le permite usar pares clave-valor de etiquetas para especificar los objetos de la autorización. Para obtener más información sobre cómo configurar etiquetas de aplicaciones, consulte Tag management.

• Se admiten los siguientes operadores de condición para pares clave-valor de etiquetas:

  • StringEquals

  • StringNotEquals

  • StringEqualsIgnoreCase

  • StringNotEqualsIgnoreCase

  • StringLike

  • StringNotLike

• Clave de condición: arms:tag.

• Valor de condición: El par clave-valor de la etiqueta.

"Condition": {
  "StringEquals": {       // Condition operator.
    "arms:tag/key0":[      // Condition key
      "value01",        // Condition value
      "value02"
    ]
  }
}

Referencia de autorización

Para utilizar políticas personalizadas, comprenda los requisitos de permisos de su servicio y la información de autorización de Application Real-Time Monitoring Service (ARMS). Para obtener más información, consulte Authorization information.