ApsaraMQ for Kafka:Utiliser des groupes de ressources pour un contrôle granulaire des ressources

Fonctionnement

Organisez vos ressources Alibaba Cloud en groupes pour les gérer efficacement. Par exemple, créez un groupe de ressources par projet et déplacez-y les ressources associées. Cette approche centralise la gestion des ressources de chaque projet. Pour en savoir plus, consultez la rubrique Qu'est-ce qu'un groupe de ressources ?.

Une fois les ressources regroupées, accordez aux identités RAM (utilisateurs, groupes ou rôles RAM) des autorisations limitées à un groupe de ressources spécifique. L'identité concernée ne pourra alors gérer que les ressources incluses dans ce groupe. Pour plus de détails, reportez-vous à la section Regroupement des ressources et autorisation.

Cette méthode offre les avantages suivants :

• Autorisations granulaires : chaque identité dispose d'un accès précis aux ressources spécifiques, évitant ainsi que des ressources issues de projets différents soient gérées sous le même jeu d'autorisations.

• Évolutivité : ajoutez simplement les nouvelles ressources au groupe de ressources. L'identité obtient automatiquement les droits sur ces ressources sans nécessiter une nouvelle attribution manuelle.

Accorder des autorisations au niveau du groupe de ressources à un utilisateur RAM

La procédure suivante explique comment accorder à un RAM user les autorisations nécessaires pour gérer les ressources Message Queue for Apache Kafka contenues dans un groupe de ressources donné.

Types de ressources compatibles avec les groupes de ressources

Message Queue for Apache Kafka prend en charge les groupes de ressources pour le type de ressource suivant :

Actions non compatibles avec l'autorisation au niveau du groupe

Dans Message Queue for Apache Kafka, les actions suivantes ne prennent pas en charge l'autorisation au niveau du groupe de ressources :

Pour les actions ne prenant pas en charge l'autorisation au niveau du groupe de ressources, définir l'étendue des autorisations sur Resource Group Level n'a aucun effet. Si un utilisateur RAM a besoin de ces autorisations, créez une stratégie d'autorisation personnalisée et définissez l'étendue des autorisations sur Account Level.

Les exemples suivants présentent deux stratégies d'autorisation personnalisées. Vous pouvez les modifier selon vos besoins.

• Autorise toutes les actions en lecture seule ne prenant pas en charge l'autorisation au niveau du groupe de ressources : l'élément Action répertorie ces actions.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "alikafka:CheckCreateSlr",
          "alikafka:GetBrokerIdListFromSls",
          "alikafka:GetConsumerList",
          "alikafka:GetInstanceList",
          "alikafka:GetInstancesLeaderElectionOverviewListInPage",
          "alikafka:GetLeaderElectionOverviewOrderByCostListInPage",
          "alikafka:GetMakeFollowerProcess",
          "alikafka:GetMakeLeaderProcess",
          "alikafka:GetMeta",
          "alikafka:GetPromotionList",
          "alikafka:GetRegionErrorLeaderElectionOverviewListInPage",
          "alikafka:GetRegionLeaderElectionOverview",
          "alikafka:GetTopicList",
          "alikafka:GetTransactionTopicListInPage",
          "alikafka:ListInstanceGetNoDeployedInstanceList",
          "alikafka:ListInstanceId",
          "alikafka:ListLeaderElectionResult",
          "alikafka:ListLogProject",
          "alikafka:ListLogStore",
          "alikafka:ListRegions",
          "alikafka:ListReportAnalyseClientConsumerPower",
          "alikafka:ListReportAnalyseFetchLog",
          "alikafka:ListReportAnalyseGroup",
          "alikafka:ListReportAnalyseMessageStoreBrokerTime",
          "alikafka:ListReportAnalyseSubscribeRelationship",
          "alikafka:ListReportAnalyseTopic",
          "alikafka:QueryContact",
          "alikafka:QueryMigrationRecord",
          "alikafka:QueryQuota"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Autorise toutes les actions ne prenant pas en charge l'autorisation au niveau du groupe de ressources : toutes ces actions sont listées dans l'élément Action .

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "alikafka:AddQuota",
          "alikafka:CheckCreateSlr",
          "alikafka:ConsoleClearPretendStatus",
          "alikafka:ConsoleKafkaConnectorCheckKafkaConnectorStatus",
          "alikafka:ConsoleKafkaConnectorOpenKafkaConnector",
          "alikafka:ConsoleSavePretendStatus",
          "alikafka:ConsoleSearchPretendUser",
          "alikafka:ConvertPostPayOrder",
          "alikafka:CreateDefaultSlrRole",
          "alikafka:CreateETLTask",
          "alikafka:CreateInstance",
          "alikafka:CreateInstanceMetadataMigration",
          "alikafka:DeleteConsumerGroup",
          "alikafka:DeleteContact",
          "alikafka:DeleteInstance",
          "alikafka:DiagnoseTimeoutTransaction",
          "alikafka:EvaluateInstance",
          "alikafka:GetBrokerIdListFromSls",
          "alikafka:GetConsumerList",
          "alikafka:GetInstanceList",
          "alikafka:GetInstancesLeaderElectionOverviewListInPage",
          "alikafka:GetLeaderElectionOverviewOrderByCostListInPage",
          "alikafka:GetMakeFollowerProcess",
          "alikafka:GetMakeLeaderProcess",
          "alikafka:GetMeta",
          "alikafka:GetPromotionList",
          "alikafka:GetRegionErrorLeaderElectionOverviewListInPage",
          "alikafka:GetRegionLeaderElectionOverview",
          "alikafka:GetTopicList",
          "alikafka:GetTransactionTopicListInPage",
          "alikafka:HandleHangingTransaction",
          "alikafka:ListInstanceGetNoDeployedInstanceList",
          "alikafka:ListInstanceId",
          "alikafka:ListLeaderElectionResult",
          "alikafka:ListLogProject",
          "alikafka:ListLogStore",
          "alikafka:ListRegions",
          "alikafka:ListReportAnalyseClientConsumerPower",
          "alikafka:ListReportAnalyseFetchLog",
          "alikafka:ListReportAnalyseGroup",
          "alikafka:ListReportAnalyseMessageStoreBrokerTime",
          "alikafka:ListReportAnalyseSubscribeRelationship",
          "alikafka:ListReportAnalyseTopic",
          "alikafka:QueryContact",
          "alikafka:QueryMigrationRecord",
          "alikafka:QueryQuota",
          "alikafka:RegionalRollbackAddOrUpdateTopics",
          "alikafka:SpCorrect",
          "alikafka:SpCorrectPartition",
          "alikafka:UpdateContact",
          "alikafka:UpdateDeploymentRemark"
        ],
        "Resource": "*"
      }
    ]
  }
  

FAQ