CloudOps Orchestration Service (OOS) requiere distintos permisos de API para ejecutar diferentes plantillas. Use la operación de API GenerateExecutionPolicy de OOS para obtener los permisos que necesita cada plantilla y aplicar el principio de mínimo privilegio. Como alternativa, otorgue al rol de servicio de OOS permisos FullAccess sobre otros servicios en la nube. A continuación se describen los pasos para conceder a OOS acceso a otros servicios en la nube.
Contexto
Para otorgar a un usuario de RAM (subcuenta) los permisos necesarios para acceder a OOS, consulte Account control de acceso.
OOS usa tokens temporales de Security Token Service (STS) para acceder a las API de otros servicios en la nube. Autorice a OOS a acceder a sus recursos mediante la asunción de un rol de RAM.
Si no se especifica ningún rol de RAM, OOS utiliza los permisos existentes de la cuenta que ejecuta la plantilla.
Si se especifica un rol de RAM, OOS asume el rol que usted indique.
Procedimiento
Paso 1: Cree un rol de RAM que OOS pueda asumir
Vaya a la página RAM console>Identities>Roles y haga clic en Create Role.
-
En la página Create Role, establezca Principal Type como Cloud Service y Principal Name como CloudOps Orchestration Service. Después, haga clic en OK.
NotaLos servicios disponibles para el parámetro Principal Name dependen de la consola de RAM.
En el cuadro de diálogo que aparece, especifique un nombre para el rol y haga clic en OK.
Paso 2: Otorgar permisos al rol de RAM
Un rol de RAM recién creado no tiene permisos. Grant permissions to the RAM role.
Vaya a la página RAM console>Identities>Roles.
En la lista de roles, busque el rol de RAM que creó para OOS (por ejemplo, OOSServiceRole). En la columna Actions, haga clic en Attach Policy.
-
En el panel Attach Policy, configure los parámetros para adjuntar directivas de permiso al rol de RAM y haga clic en Grant permissions. A continuación se describen los parámetros principales:
Principal: Se establece automáticamente con el rol de RAM actual, que corresponde al rol de servicio de OOS.
Policies: Seleccione las directivas que requiere la plantilla de CloudOps Orchestration Service. Obtain the RAM policy required to execute a template. Por ejemplo, AliyunECSFullAccess otorga acceso a todas las API de ECS.
Una vez otorgados los permisos, haga clic en close.