Serverless App Engine (SAE) utiliza Alibaba Cloud Resource Access Management (RAM) para controlar el acceso a los recursos de SAE. En lugar de compartir credenciales de cuenta o pares de AccessKey entre varios usuarios, puede otorgar a los usuarios de RAM únicamente los permisos que necesitan, lo que reduce la exposición a riesgos de seguridad.
Este documento describe las directivas del sistema disponibles, cómo crear directivas personalizadas y proporciona JSON de directivas listos para usar en escenarios comunes de autorización.
Requisitos previos
Antes de empezar, asegúrese de contar con:
Conocimientos básicos sobre la estructura y sintaxis de las directivas de RAM. Consulte Policy structure and syntax y Basic elements of a policy
Descripción general de las directivas de RAM
Una directiva de RAM define qué acciones se permiten o deniegan sobre qué recursos y bajo qué condiciones. SAE admite dos tipos de directivas:
|
Tipo de directiva |
Administrador |
Granularidad |
Modificable |
|
Directiva del sistema |
Alibaba Cloud |
Granularidad gruesa |
No |
|
Directiva personalizada |
Usted |
Granularidad fina |
Sí |
Directivas del sistema
SAE proporciona un conjunto de directivas del sistema administradas por Alibaba Cloud. Asigne estas directivas a los usuarios de RAM mediante la consola de RAM.
Cuando un usuario de RAM inicia sesión en la consola de SAE por primera vez, SAE muestra un cuadro de diálogo de bienvenida. El propietario de la cuenta puede entonces asignar las directivas necesarias en la consola de RAM.
Las siguientes directivas del sistema están disponibles:
|
Nombre de la directiva |
Acceso que otorga |
|
AliyunSAEFullAccess |
Acceso completo a SAE. Obligatoria para gestionar aplicaciones. |
|
AliyunSLBReadOnlyAccess |
Acceso de solo lectura a Server Load Balancer (SLB). Obligatoria para utilizar funciones relacionadas con SLB en SAE. |
|
AliyunACMFullAccess |
Acceso completo a Application Configuration Management (ACM). Obligatoria para utilizar las funciones integradas de ACM en SAE. |
|
AliyunECSReadOnlyAccess |
Acceso de solo lectura a Elastic Compute Service (ECS). Obligatoria para seleccionar un security group existente al crear una aplicación. |
|
AliyunOOSReadOnlyAccess |
Acceso de solo lectura a Operation Orchestration Service (OOS). Obligatoria para utilizar la función de inicio y detención programados en la gestión por lotes de aplicaciones. |
|
AliyunBSSReadOnlyAccess |
Acceso de solo lectura a Billing Management. Obligatoria para consultar los saldos de los planes de recursos en la página Overview de la consola de SAE. |
|
AliyunARMSReadOnlyAccess |
Acceso de solo lectura a Application Real-Time Monitoring Service (ARMS). Obligatoria para utilizar el monitoreo de aplicaciones integrado en SAE. |
|
AliyunRAMReadOnlyAccess |
Acceso de solo lectura a RAM. Obligatoria para consultar los permisos de un usuario de RAM y recibir avisos para otorgar permisos faltantes. |
|
AliyunCloudMonitorReadOnlyAccess |
Acceso de solo lectura a CloudMonitor. Obligatoria para utilizar el monitoreo básico integrado en SAE. |
|
AliyunContainerRegistryReadOnlyAccess |
Acceso de solo lectura a Container Registry. Obligatoria para seleccionar Container Registry Enterprise Edition al desplegar aplicaciones mediante imágenes. |
|
AliyunALBReadOnlyAccess |
Acceso de solo lectura a Application Load Balancer (ALB). |
|
AliyunYundunCertReadOnlyAccess |
Acceso de solo lectura a Certificate Management Service. |
|
AliyunEventBridgeReadOnlyAccess |
Acceso de solo lectura a EventBridge. Obligatoria para crear y actualizar trabajos. |
AliyunSAEFullAccess otorga permisos completos sobre todos los recursos de SAE. Para un control más detallado a nivel de namespace o aplicación, o para permisos sobre servicios asociados, utilice una directiva personalizada.Directivas personalizadas
Si las directivas del sistema no satisfacen sus necesidades, cree una directiva personalizada para definir permisos exactos a nivel de namespace o aplicación.
El Asistente de permisos de SAE le permite configurar permisos visualmente y generar declaraciones de directivas sin escribir JSON manualmente. También facilita la creación y asignación de directivas personalizadas a usuarios de RAM directamente desde la consola de RAM.
Reglas de autorización
Formato de ARN de recurso
El tipo de recurso de SAE que puede autorizar es application. El formato del ARN es:
acs:sae:${regionid}:${accountid}:application/${namespaceid}/${appid}|
Parámetro |
Descripción |
|
|
ID de región (por ejemplo, |
|
|
ID de cuenta de Alibaba Cloud. Puede utilizar |
|
|
ID de namespace. El namespace predeterminado tiene un ID vacío, que se representa como |
|
|
ID de aplicación. Puede utilizar |
Ejemplos de ARN
Los siguientes ejemplos utilizan la región China (Shanghai) (cn-shanghai).
Una aplicación específica en el namespace test:
acs:sae:cn-shanghai:*:application/test/0c815215-46a1-46a2-ba1e-0102a740****Todas las aplicaciones en el namespace predeterminado:
acs:sae:cn-shanghai:*:application/_default/*Ejemplos de directivas
Todos los ejemplos utilizan la región China (Shanghai). Ajuste el ID de región, los ID de namespace y los ID de aplicación para que coincidan con su entorno.
Escenario 1: Otorgar permisos a nivel de namespace
Objetivo: Conceder a un usuario de RAM acceso de lectura en todo SAE y acceso de escritura completo a namespaces específicos y sus aplicaciones.
En este ejemplo, se autoriza al usuario de RAM a gestionar recursos relacionados con el namespace predeterminado, el namespace con ID test y las aplicaciones dentro de dichos namespaces.
|
Recurso |
Acciones |
Efecto |
|
|
|
Allow |
|
|
|
Allow |
Esta directiva otorga acceso de escritura completo a todo el namespacetest, incluidas todas las aplicaciones que contiene. La declaración de solo lectura de la primera fila abarca todos los recursos de la región, pero no concede acceso de escritura fuera del namespacetest. Para otorgar también acceso de escritura al namespace predeterminado, agregue una segunda entrada de recurso paraacs:sae:cn-shanghai:*:application/_default/*.
{
"Version": "1",
"Statement": [
{
"Action": [
"sae:Query*",
"sae:List*",
"sae:Describe*",
"sae:*Ingress*",
"sae:*ChangeOrder*",
"sae:*Pipeline*"
],
"Resource": "acs:sae:cn-shanghai:*:*",
"Effect": "Allow"
},
{
"Action": [
"sae:*"
],
"Resource": [
"acs:sae:cn-shanghai:*:application/test/*"
],
"Effect": "Allow"
}
]
}Escenario 2: Otorgar permisos a nivel de aplicación
Objetivo: Conceder a un usuario de RAM acceso de lectura en todo SAE y acceso de escritura completo únicamente a aplicaciones específicas.
En este ejemplo, el usuario de RAM puede gestionar dos aplicaciones específicas:
|
Aplicación |
Namespace |
ID de aplicación |
|
Aplicación 1 |
test |
|
|
Aplicación 2 |
default |
|
|
Recurso |
Acciones |
Efecto |
|
|
|
Allow |
|
|
|
Allow |
|
|
|
Allow |
Esta directiva restringe el acceso de escritura únicamente a las dos aplicaciones indicadas. El usuario de RAM no puede crear, actualizar ni eliminar otras aplicaciones en estos namespaces, aunque la primera declaración conceda acceso de lectura en toda la región.
{
"Version": "1",
"Statement": [
{
"Action": [
"sae:Query*",
"sae:List*",
"sae:Describe*",
"sae:*Ingress*",
"sae:*ChangeOrder*",
"sae:*Pipeline*"
],
"Resource": "acs:sae:cn-shanghai:*:*",
"Effect": "Allow"
},
{
"Action": [
"sae:*"
],
"Resource": [
"acs:sae:cn-shanghai:*:application/test/0c815215-46a1-46a2-ba1e-0102a740****",
"acs:sae:cn-shanghai:*:application/_default/e468a92b-1529-4d20-8ab1-9d1595dc****"
],
"Effect": "Allow"
}
]
}Escenario 3: Otorgar acceso a servicios asociados de Alibaba Cloud
Las aplicaciones de SAE suelen necesitar llamar a API de otros servicios de Alibaba Cloud durante su ejecución, por ejemplo, para acceder a load balancers, instancias de cómputo o datos de monitoreo. Asigne las directivas del sistema correspondientes al usuario de RAM para cada servicio que requiera.
Por ejemplo, puede otorgar al usuario de RAM acceso de solo lectura a ECS (AliyunECSReadOnlyAccess), SLB (AliyunSLBReadOnlyAccess) y ARMS (AliyunARMSReadOnlyAccess).
Asigne únicamente las directivas de los servicios que su aplicación utilice realmente.