Microservices Engine:XXL-JOB authorization

Requisitos del alcance de autorización

Antes de escribir una directiva personalizada, tenga en cuenta los siguientes requisitos:

• Prefijo de servicio: las acciones de la API de XXL-JOB utilizan el prefijo de servicio schedulerx3 en una directiva de RAM. En una ruta de recurso, el tipo de recurso cluster hace referencia a una instancia de XXL-JOB.

• Declaración a nivel de cuenta: la acción ListClusters solo admite autorización a nivel de cuenta y no se puede filtrar mediante permisos a nivel de instancia. Cada directiva debe otorgar schedulerx3:ListClusters en la ruta de recurso a nivel de cuenta acs:schedulerx3:*:*:*. No elimine esta declaración, incluso cuando restrinja todas las demás acciones a una sola instancia.

• Declaración a nivel de instancia: todas las demás acciones admiten autorización a nivel de instancia y a nivel de acción. Utilice acs:schedulerx3:*:*:cluster/<instance-id> para otorgar permisos sobre una sola instancia, o acs:schedulerx3:*:*:cluster/* para otorgar permisos sobre todas las instancias.

• Valores de ejemplo: xxljob-0pp1j8om80a en los siguientes ejemplos es un ID de instancia de muestra. Reemplácelo con el ID de su propia instancia.

Elegir una directiva

La siguiente tabla asigna cada caso de uso al ejemplo de directiva correspondiente.

La directiva de lectura y escritura otorga schedulerx3:*, lo cual incluye las acciones de eliminación DeleteCluster, DeleteApp y DeleteJobs. Como práctica recomendada, otorgue el alcance más restringido que necesite el usuario de RAM: prefiera una directiva de solo lectura en lugar de una de lectura y escritura, y prefiera una sola instancia en lugar de todas las instancias. Para otorgar un subconjunto de acciones en lugar de un comodín, especifique nombres de acciones individuales de las tablas en XXL-JOB API actions.

Ejemplos de directivas

Otorgue a un usuario de RAM permisos de lectura y escritura en una instancia:

{
  "Statement": [
    {
      "Action": "schedulerx3:ListClusters",
      "Resource": "acs:schedulerx3:*:*:*",
      "Effect": "Allow"
    },
    {
      "Action": "schedulerx3:*",
      "Resource": "acs:schedulerx3:*:*:cluster/xxljob-0pp1j8om80a",
      "Effect": "Allow"
    }
  ],
  "Version": "1"
}

Otorgue a un usuario de RAM permisos de solo lectura en una instancia:

{
  "Statement": [
    {
      "Action": "schedulerx3:ListClusters",
      "Resource": "acs:schedulerx3:*:*:*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "schedulerx3:List*",
        "schedulerx3:Get*"
      ],
      "Resource": "acs:schedulerx3:*:*:cluster/xxljob-0pp1j8om80a",
      "Effect": "Allow"
    }
  ],
  "Version": "1"
}

Otorgue a un usuario de RAM permisos de solo lectura en todas las instancias de XXL-JOB:

{
  "Statement": [
    {
      "Action": "schedulerx3:ListClusters",
      "Resource": "acs:schedulerx3:*:*:*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "schedulerx3:List*",
        "schedulerx3:Get*"
      ],
      "Resource": "acs:schedulerx3:*:*:cluster/*",
      "Effect": "Allow"
    }
  ],
  "Version": "1"
}

Acciones que solo admiten autorización a nivel de cuenta

La siguiente acción solo admite autorización a nivel de cuenta y no se puede filtrar mediante permisos a nivel de instancia. Otórguela en la ruta de recurso a nivel de cuenta acs:schedulerx3:*:*:*.

Acciones que admiten autorización a nivel de instancia y a nivel de acción

Las siguientes acciones admiten autorización a nivel de instancia y permisos de RAM a nivel de acción.