Autorisation RAM - ApsaraMQ for RocketMQ - Centre de documentation Alibaba Cloud

Resource Access Management (RAM) est un service d'Alibaba Cloud qui permet de gérer les identités utilisateur et les autorisations d'accès aux ressources. RAM vous permet d'éviter de partager les clés de votre compte Alibaba Cloud avec d'autres utilisateurs et d'accorder aux utilisateurs un accès à privilège minimum. RAM utilise des politiques d'autorisation pour définir les autorisations. Cette rubrique décrit la structure générale d'une politique RAM, ainsi que les éléments d'instruction de politique (Action, Resource et Condition) définis par ApsaraMQ for RocketMQ pour les politiques d'autorisation RAM. Le code RAM (RamCode) de ApsaraMQ for RocketMQ est rocketmq , et la granularité d'autorisation prise en charge est RESOURCE .

Structure générale d'une politique

Les politiques d'autorisation prennent en charge le format JSON avec la structure générale suivante :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

La liste suivante décrit les champs de la politique :

Version : indique le numéro de version de la politique. Sa valeur est fixée à 1.
Statement :
- Effect : indique le résultat de l'autorisation. Valeurs valides : Allow et Deny.
- Action : précise une ou plusieurs opérations autorisées ou refusées.
- Resource : désigne les objets spécifiques affectés par les opérations. Utilisez des Alibaba Cloud Resource Names (ARN) pour décrire des ressources spécifiques.
- Condition : définit les conditions requises pour que l'autorisation prenne effet. Ce champ est facultatif.
  - Opérateur de condition : indique les opérateurs conditionnels. Les différents types de conditions prennent en charge différents opérateurs conditionnels.
  - Condition_key : précise les clés de condition.
  - Condition_value : spécifie les valeurs de condition.

Action

Le tableau suivant répertorie les actions définies par ApsaraMQ for RocketMQ. Les colonnes du tableau sont détaillées ci-dessous :

Action : les actions peuvent être utilisées dans l'élément Action des instructions de politique d'autorisation RAM pour accorder les permissions nécessaires à l'exécution de l'opération.
API : l'API à appeler pour exécuter l'action.
Niveau d'accès : le niveau d'accès prédéfini accordé pour chaque API. Valeurs valides : create, list, get, update et delete.
Type de ressource : le type de ressource qui prend en charge l'autorisation pour exécuter l'action. Cette colonne indique si l'action prend en charge les permissions au niveau de la ressource. La ressource spécifiée doit être compatible avec l'action, sinon la politique sera inefficace.
- Pour les API avec permissions au niveau de la ressource, les types de ressources requis sont marqués d'un astérisque (*). Spécifiez l'ARN correspondant dans l'élément Resource de la politique.
- Pour les API sans permissions au niveau de la ressource, la valeur affichée est All Resources. Utilisez un astérisque (*) dans l'élément Resource de la politique.
Clé de condition : les clés de condition définies par le service. Ces clés permettent un contrôle granulaire, applicable aux actions seules ou aux actions associées à des ressources spécifiques. En plus des clés de condition spécifiques au service, Alibaba Cloud fournit un ensemble de clés de condition communes applicables à tous les services intégrés à RAM. Pour plus d'informations, consultez Clés de condition communes.
Action dépendante : les actions dépendantes requises pour exécuter l'action. Pour mener à bien l'opération, l'utilisateur RAM ou le rôle RAM doit disposer des permissions nécessaires pour exécuter toutes les actions dépendantes.

Action	API	Niveau d'accès	Type de ressource	Clé de condition	Action dépendante
rocketmq:DeleteInstanceAccount	DeleteInstanceAccount	delete	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:GetDisasterRecoveryPlan	GetDisasterRecoveryPlan	get	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:ListTagResources	ListTagResources	list	All Resource ``	Aucune	Aucune
rocketmq:ListMigrationOperations	ListMigrationOperations	list	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:UpdateDisasterRecoveryPlan	UpdateDisasterRecoveryPlan	update	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:VerifySendMessage	VerifySendMessage	update	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:ListMetricMeta	ListMetricMeta	list	All Resource ``	Aucune	Aucune
rocketmq:ListMessages	ListMessages	list	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:ListDisasterRecoveryPlans	ListDisasterRecoveryPlans	get	All Resource ``	Aucune	Aucune
rocketmq:GetDisasterRecoveryItem	GetDisasterRecoveryItem	get	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:UpdateDisasterRecoveryItem	UpdateDisasterRecoveryItem	update	*DisasterRecoveryItem `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:DeleteDisasterRecoveryItem	DeleteDisasterRecoveryItem	update	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:DeleteInstanceAcl	DeleteInstanceAcl	delete	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:DeleteInstance	DeleteInstance	delete	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:DeleteConsumerGroupSubscription	DeleteConsumerGroupSubscription	delete	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:GetTopic	GetTopic	get	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:CreateInstanceAccount	CreateInstanceAccount	create	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:GetConsumerStack	GetConsumerStack	get	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:VerifyConsumeMessage	VerifyConsumeMessage	update	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:CreateInstance	CreateInstance	create	Instance `acs:rocketmq:{#regionId}:{#accountId}:Instance/`	rocketmq:InternetSpec	Aucune
rocketmq:ExecuteMigrationOperation	ExecuteMigrationOperation	update	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:CreateInstanceAcl	CreateInstanceAcl	create	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:ListInstanceAcl	ListInstanceAcl	list	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:FinishMigrationStage	FinishMigrationStage	update	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:TagResources	TagResources	update	All Resource ``	Aucune	Aucune
rocketmq:ListInstances	ListInstances	list	Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/`	Aucune	Aucune
rocketmq:GetConsumeTimespan	GetConsumeTimespan	get	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:ListMigrations	ListMigrations	list	All Resource ``	Aucune	Aucune
rocketmq:ResetConsumeOffset	ResetConsumeOffset	update	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:ListTraces	ListTraces	get	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:GetInstanceAcl	GetInstanceAcl	get	*Acl `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:CreateTopic	CreateTopic	create	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:ChangeResourceGroup	ChangeResourceGroup	update	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:GetInstanceAccount	GetInstanceAccount	get	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:SyncDisasterRecoveryCheckpoint	SyncDisasterRecoveryCheckpoint	update	All Resource ``	Aucune	Aucune
rocketmq:CreateInstanceIpWhitelist	CreateInstanceIpWhitelist	create	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:GetConsumerGroup	GetConsumerGroup	get	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:ListConsumerGroups	ListConsumerGroups	list	ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/`	Aucune	Aucune
rocketmq:ListConsumerConnections	ListConsumerConnections	list	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:AddDisasterRecoveryItem	AddDisasterRecoveryItem	update	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:DeleteConsumerGroup	DeleteConsumerGroup	delete	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:ListInstanceIpWhitelist	ListInstanceIpWhitelist	list	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:ListInstanceAccount	ListInstanceAccount	list	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:ListDisasterRecoveryCheckpoints	ListDisasterRecoveryCheckpoints	list	All Resource ``	Aucune	Aucune
rocketmq:GetConsumerGroupLag	GetConsumerGroupLag	get	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:UpdateInstance	UpdateInstance	update	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:CreateConsumerGroup	CreateConsumerGroup	create	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:DeleteTopic	DeleteTopic	delete	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:StopDisasterRecoveryItem	StopDisasterRecoveryItem	update	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:ListTopicSubscriptions	ListTopicSubscriptions	list	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:DeleteInstanceIpWhitelist	DeleteInstanceIpWhitelist	delete	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:CreateDisasterRecoveryPlan	CreateDisasterRecoveryPlan	update	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:UntagResources	UntagResources	update	All Resource ``	Aucune	Aucune
rocketmq:UpdateInstanceAcl	UpdateInstanceAcl	update	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:ListTopics	ListTopics	list	Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/`	Aucune	Aucune
rocketmq:GetInstanceIpWhitelist	GetInstanceIpWhitelist	get	*IpWhitelist `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:ListDisasterRecoveryItems	ListDisasterRecoveryItems	get	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:GetInstance	GetInstance	get	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:UpdateConsumerGroup	UpdateConsumerGroup	update	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:GetTrace	GetTrace	get	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:StartDisasterRecoveryItem	StartDisasterRecoveryItem	update	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:GetConsumerGroupSubscription	GetConsumerGroupSubscription	get	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:ListConsumerGroupSubscriptions	ListConsumerGroupSubscriptions	list	*ConsumerGroup `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId}`	Aucune	Aucune
rocketmq:DeleteDisasterRecoveryPlan	DeleteDisasterRecoveryPlan	update	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune
rocketmq:GetMessageDetail	GetMessageDetail	get	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:UpdateTopic	UpdateTopic	update	*Topic `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}`	Aucune	Aucune
rocketmq:UpdateInstanceAccount	UpdateInstanceAccount	update	*Instance `acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}`	Aucune	Aucune

Resource

Le tableau suivant répertorie les ressources définies par ApsaraMQ for RocketMQ. Spécifiez-les dans l'élément Resource des instructions de politique RAM pour accorder des permissions sur des opérations spécifiques. Chaque ressource est identifiée de manière unique par un ARN. Format : acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType} :

acs : acronyme d'Alibaba Cloud Service, désignant le cloud public d'Alibaba Cloud.
{#ramcode} : le code utilisé dans RAM pour identifier un service Alibaba Cloud.
{#regionId} : l'ID de région. Si la ressource couvre toutes les régions, définissez cette valeur sur un astérisque (*).
{#accountId} : l'ID du compte Alibaba Cloud. Si la ressource couvre tous les comptes Alibaba Cloud, définissez cette valeur sur un astérisque (*).
{#resourceType} : l'identifiant de ressource défini par le service. Il prend en charge une structure hiérarchique, similaire à un chemin de fichier. Si l'instruction couvre des ressources globales, définissez cette valeur sur un astérisque (*).

Type de ressource	ARN
Instance	acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId} acs:rocketmq:{#regionId}:{#accountId}:instance/* acs:rocketmq:{#regionId}:{#accountId}:* acs:rocketmq:{#regionId}:{#accountId}:Instance/* acs:rocketmq::{#accountId}:
Topic	acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName} acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/*
DisasterRecoveryItem	acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}
ConsumerGroup	acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/{#ConsumerGroupId} acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/topic/{#TopicName}/consumergroup/{#ConsumerGroupId} acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}/consumergroup/*
Acl	acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}
IpWhitelist	acs:rocketmq:{#regionId}:{#accountId}:instance/{#InstanceId}

Condition

Le tableau suivant répertorie les clés de condition au niveau du produit définies par ApsaraMQ for RocketMQ. Vous pouvez également utiliser les clés de condition communes d'Alibaba Cloud. Spécifiez ces clés dans l'élément Condition des instructions de politique RAM pour définir des règles d'autorisation granulaires. Pour chaque clé de condition, spécifiez les valeurs de condition dans l'élément Condition_value de la politique.

Chaque clé de condition possède un type de données spécifique, tel que string, number, Boolean ou adresse IP. Le type de données détermine les opérateurs conditionnels utilisables pour comparer les valeurs de la requête avec les valeurs de la politique. Les opérateurs conditionnels doivent être compatibles avec le type de données de la clé de condition. En cas d'incompatibilité, la politique sera invalidée. Consultez Opérateur de condition pour connaître les combinaisons valides.

Clé de condition	Description	Type de données
rocketmq:InternetSpec	Indique si l'accès au réseau public est pris en charge.	String

Comment créer des politiques RAM personnalisées ?

Créez des politiques personnalisées et accordez-les à des utilisateurs RAM, des groupes d'utilisateurs RAM ou des rôles RAM. Pour obtenir des instructions, consultez :