ApsaraMQ for RocketMQ:Utiliser des groupes de ressources pour un contrôle granulaire

Fonctionnement de l'autorisation par groupe de ressources

Vous pouvez utiliser des groupes de ressources pour organiser les ressources de votre compte Alibaba Cloud. Par exemple, créez un groupe de ressources dédié pour chaque projet et déplacez-y les ressources associées afin de centraliser leur gestion. Pour plus d'informations, consultez la rubrique Qu'est-ce qu'un groupe de ressources ?

Une fois vos ressources organisées, accordez des autorisations à des principaux RAM spécifiques, tels que des utilisateurs RAM, des groupes d'utilisateurs RAM ou des rôles RAM, pour un groupe de ressources donné. Chaque principal est ainsi limité à la gestion des seules ressources contenues dans ce groupe. Pour plus d'informations, consultez la section Regroupement des ressources et autorisation.

Cette méthode d'autorisation offre les avantages suivants :

• Autorisations granulaires : chaque identité reçoit uniquement les autorisations dont elle a besoin, ce qui évite le mélange de la gestion des ressources entre différents projets.

• Évolutivité : lorsque vous ajoutez de nouvelles ressources, assignez-les simplement au groupe de ressources. Les principaux RAM ayant accès à ce groupe obtiennent automatiquement les autorisations correspondantes pour les nouvelles ressources, sans nécessiter d'autorisation supplémentaire.

Accorder des autorisations au niveau du groupe de ressources

L'exemple suivant montre comment accorder à un RAM user les autorisations nécessaires pour gérer les ressources ApsaraMQ for RocketMQ au sein d'un groupe de ressources spécifique.

Types de ressources compatibles avec les groupes de ressources

Le tableau suivant répertorie les types de ressources ApsaraMQ for RocketMQ compatibles avec les groupes de ressources.

Actions ne prenant pas en charge l'autorisation au niveau du groupe de ressources

Les actions ApsaraMQ for RocketMQ suivantes ne prennent pas en charge l'autorisation au niveau du groupe de ressources :

Pour les actions ne prenant pas en charge l'autorisation au niveau du groupe de ressources, définir la portée des ressources sur Resource Group n'a aucun effet. Si un utilisateur RAM a besoin d'autorisations pour ces actions, vous devez créer une stratégie personnalisée avec la portée des ressources définie sur Account Level.

Les deux exemples suivants présentent des stratégies personnalisées. Vous pouvez modifier leur contenu pour répondre à vos besoins métier.

• Pour autoriser toutes les actions en lecture seule ne prenant pas en charge l'autorisation au niveau du groupe de ressources, spécifiez-les dans l'élément Action de la stratégie suivante :

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "rocketmq:GetDiagnosis",
          "rocketmq:GetUserMetrics",
          "rocketmq:GetUserTags",
          "rocketmq:ListAllTags",
          "rocketmq:ListDiagnosis",
          "rocketmq:ListDisasterRecoveryPlans",
          "rocketmq:ListFaultDrillTasks",
          "rocketmq:ListInstanceContainsV4",
          "rocketmq:ListMetricMeta",
          "rocketmq:ListMigrations",
          "rocketmq:ListRegions"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Pour autoriser toutes les actions ne prenant pas en charge l'autorisation au niveau du groupe de ressources, spécifiez-les dans l'élément Action de la stratégie suivante :

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "rocketmq:CheckServiceLinkedRole",
          "rocketmq:CreateServiceLinkedRole",
          "rocketmq:DeleteDiagnosis",
          "rocketmq:ExportDiagnose",
          "rocketmq:GetDiagnosis",
          "rocketmq:GetUserMetrics",
          "rocketmq:GetUserTags",
          "rocketmq:InvokeGenericService",
          "rocketmq:ListAllTags",
          "rocketmq:ListDiagnosis",
          "rocketmq:ListDisasterRecoveryPlans",
          "rocketmq:ListFaultDrillTasks",
          "rocketmq:ListInstanceContainsV4",
          "rocketmq:ListMetricMeta",
          "rocketmq:ListMigrations",
          "rocketmq:ListRegions"
        ],
        "Resource": "*"
      }
    ]
  }
  

FAQ