ApsaraMQ for MQTT:RAM policies for ApsaraMQ for MQTT

Prérequis pour l'accès aux instances

Avant d'accorder des permissions sur un topic, un group ou une rule, vous devez d'abord accorder l'action mq:MqttInstanceAccess sur l'instance parente. Sans accès au niveau de l'instance, l'utilisateur RAM ne peut pas atteindre les ressources contenues dans cette instance.

Ce prérequis s'applique à toutes les catégories de permissions : opérations de console, appels API et publication/abonnement client.

Stratégies système (sélection rapide)

Pour la plupart des cas d'utilisation, attachez l'une des stratégies système prédéfinies suivantes à un utilisateur Resource Access Management (RAM). Aucune configuration n'est requise : il suffit d'attacher la stratégie pour l'utiliser.

Permissions supplémentaires pour la console

Les stratégies système n'incluent pas toutes les permissions nécessaires pour accéder à chaque section de la console ApsaraMQ for MQTT. Accordez les permissions suivantes séparément si nécessaire :

Autorisation exclusive à MQTT

Les stratégies système énumérées ci-dessus couvrent également ApsaraMQ for RocketMQ. Pour accorder un accès exclusif aux ressources ApsaraMQ for MQTT, utilisez plutôt une stratégie personnalisée. Une stratégie personnalisée pour un accès MQTT uniquement inclut généralement :

• mq:MqttInstanceAccess sur l'instance cible (requis avant d'accorder toute permission au niveau des ressources)

• mq:PUB ou mq:SUB limité à des topics ou des groups spécifiques, selon les besoins

Actions de publication et d'abonnement client

Ces actions contrôlent la publication et l'abonnement aux messages via les SDK ApsaraMQ for MQTT.

Formats de nommage des ressources :

• Topic : acs:mq:*:*:topic/{mqttInstanceId}/{topic}

• Group ID : acs:mq:*:*:groupId/{mqttInstanceId}/{gid}

Les permissions de publication et d'abonnement client ne peuvent pas être accordées entre différents comptes Alibaba Cloud.

Actions de gestion des instances

Format de nommage des ressources : acs:mq:*:*:instance/{mqttInstanceId}

Après avoir accordé mq:MqttMetaData , accordez également mq:ListMqttInstance afin que l'utilisateur RAM puisse afficher la liste des instances dans la console.

Actions de gestion des topics

Format de nommage des ressources : acs:mq:*:*:topic/{mqttInstanceId}/{topic}

Actions de gestion des groups

Format de nommage des ressources : acs:mq:*:*:groupId/{mqttInstanceId}/{gid}

Actions de gestion des rules

Format de nommage des ressources : acs:mq:*:*:rule/{mqttInstanceId}/{ruleId}

Lorsque vous accordez des permissions sur les rules, assurez-vous que les instances, topics et groups associés appartiennent tous au même compte Alibaba Cloud.

Gestion des tokens

Opérations sur les messages

Opérations sur les groups

Toutes les opérations API relatives aux groups utilisent les formats de nommage de ressources suivants :

• Instance : acs:mq:*:*:instance/{mqttInstanceId}

• Group : acs:mq:*:*:groupId/{mqttInstanceId}/{gid}

Opérations sur les identifiants de périphérique

Opérations de trace des messages

Opérations d'authentification personnalisée

Opérations sur les topics

Toutes les opérations API relatives aux topics utilisent les formats de nommage de ressources suivants :

• Instance : acs:mq:*:*:instance/{mqttInstanceId}

• Topic : acs:mq:*:*:topic/{mqttInstanceId}/{topic}

Opérations sur les rules

Toutes les opérations API relatives aux rules utilisent les formats de nommage de ressources suivants :

• Instance : acs:mq:*:*:instance/{mqttInstanceId}

• Rule : acs:mq:*:*:rule/{mqttInstanceId}/{ruleId}

Opérations de reprise après sinistre

Pour la référence API complète, consultez Liste des opérations par fonction.