ApsaraMQ for RocketMQ:Custom policies for ApsaraMQ for RocketMQ

Quand utiliser des stratégies personnalisées

Les stratégies système accordent des ensembles prédéfinis d'autorisations. Utilisez une stratégie personnalisée lorsque vous devez :

• Restreindre l'accès à une instance, un topic ou un groupe de consommateurs spécifique

• Autoriser uniquement certaines actions, telles que la création d'instances ou la suppression de topics

• Combiner plusieurs étendues d'autorisation dans une seule stratégie

Fonctionnement des stratégies personnalisées

Après avoir créé une stratégie personnalisée, attachez-la à un utilisateur RAM, un groupe d'utilisateurs RAM ou un rôle RAM pour accorder les autorisations spécifiées.

Gardez ces règles à l'esprit :

• Détachez avant de supprimer. Vous ne pouvez supprimer qu'une stratégie non attachée à un principal. Si la stratégie est attachée à un principal, détachez-la au préalable.

• Utilisez le contrôle de version. Les stratégies personnalisées prennent en charge le versioning. Gérez les versions de stratégie personnalisée via le mécanisme de gestion des versions fourni par RAM.

Format ARN de ressource

Chaque champ Resource d'une stratégie utilise un nom de ressource Alibaba Cloud (ARN) pour identifier la cible. Le format ARN pour ApsaraMQ for RocketMQ est le suivant :

acs:rocketmq:{regionId}:{accountId}:instance/{InstanceId}/topic/{TopicName}

Utilisez des caractères génériques pour élargir l'étendue :

Exemples de stratégies

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:ListInstances"
            ],
            "Resource": [
                "acs:rocketmq:{regionId}:{accountId}:instance/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:*"
            ],
            "Resource": [
                "acs:rocketmq:{regionId}:{accountId}:instance/{InstanceId}*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:ListAnalyticsQuery"
            ],
            "Resource": [
                "acs:rocketmq:*:{#accountId}:*/*"
            ]
        }
    ]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:CreateInstance"
            ],
            "Resource": [
                "acs:rocketmq:{regionId}:{accountId}:instance/*"
            ]
        }
    ]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:DeleteTopic"
            ],
            "Resource": [
                "acs:rocketmq:{regionId}:{accountId}:instance/{InstanceId}/topic/{TopicName}"
            ]
        }
    ]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:GetAnalyticsQuery",
                "rocketmq:SubmitAnalyticsQuery",
                "rocketmq:ListAnalyticsQuery"
            ],
            "Resource": [
                "acs:rocketmq:*:{#accountId}:*/*"
            ]
        }
    ]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:ListInstances",
                "rocketmq:GetUserTags"
            ],
            "Resource": [
                "acs:rocketmq:*:*:instance/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:*"
            ],
            "Resource": [
                "acs:rocketmq:{regionId}:{accountId}:instance/{InstanceId}*"
            ]
        }
    ]
}

Étapes suivantes

• Créer une stratégie personnalisée

• Modifier le document et la description d'une stratégie personnalisée

• Supprimer une stratégie personnalisée

• Gérer les références de stratégie

• Gérer les versions de stratégie personnalisée

• Autorisation RAM pour ApsaraMQ for RocketMQ

FAQ

Q : Pourquoi reçoi-je une erreur « valid resource owner failed » ou « AccessDenied (OwnerId forbidden) » lors de l'accès à ApsaraMQ for RocketMQ via HTTP ?

Cause : Cette erreur se produit généralement pour l'une des raisons suivantes :

• Erreur de construction de signature : La signature de la requête HTTP n'est pas conforme à la spécification HMAC-SHA256 V4. Les problèmes courants incluent une Canonical String incorrectement construite ou un en-tête Authorization mal formé.

• Incompatibilité de ressource dans la stratégie RAM : Le champ Resource de votre stratégie RAM ne correspond pas exactement au topic ou à l'instance cible. Les noms de topics dans ApsaraMQ for RocketMQ sont sensibles à la casse. Le format Resource correct pour la publication de messages via le protocole HTTP est acs:mq:*:*:instance/{InstanceId}/topic/{TopicName}.

• Autorisations insuffisantes : La paire AccessKey ou les informations d'identification STS utilisées pour la requête ne disposent pas des autorisations requises, telles que mq:PUB pour la publication de messages.

Résolution :

1. Vérifiez que la signature de votre requête HTTP suit strictement la spécification HMAC-SHA256 V4, y compris le format correct de la Canonical String, des en-têtes signés et de l'en-tête Authorization.

2. Vérifiez que le champ Resource de votre stratégie RAM correspond exactement aux noms réels du topic et de l'instance. Faites particulièrement attention à la sensibilité à la casse.

3. Confirmez que la paire AccessKey ou les informations d'identification STS disposent des autorisations nécessaires pour l'opération que vous effectuez (par exemple, mq:PUB pour la publication de messages).

Recommandation : Pour éviter la complexité de l'authentification HTTP et les erreurs de signature potentielles, utilisez le SDK RocketMQ officiel, qui gère automatiquement la signature des requêtes.

Q : Puis-je utiliser un RequestId pour interroger la raison spécifique de l'échec de la vérification des autorisations ApsaraMQ for RocketMQ ?

Non. Actuellement, Alibaba Cloud ne prend pas en charge l'interrogation des détails granulaires de la décision d'authentification IAM (Identity and Access Management) à l'aide d'un RequestId. Lorsqu'une vérification d'autorisation échoue, le backend renvoie uniquement une erreur générique AccessDenied sans exposer les détails spécifiques de l'évaluation de la stratégie, tels que la stratégie ayant refusé la requête ou la condition non satisfaite.

Pour résoudre les échecs de vérification des autorisations, utilisez les approches en libre-service suivantes :

• Vérifiez vos stratégies d'autorisation : Examinez les stratégies attachées à l'utilisateur ou au rôle RAM et vérifiez que toutes les actions requises sont explicitement autorisées.

• Vérifiez la correspondance des ARN de ressource : Confirmez que le champ Resource de vos stratégies correspond aux ARN de ressource réels, y compris l'ID de région correct, l'ID de compte, l'ID d'instance et le nom du topic ou du groupe de consommateurs.

• Vérifiez votre logique de signature : Si vous utilisez le protocole HTTP pour accéder à ApsaraMQ for RocketMQ, vérifiez que votre logique de signature de requête est correcte.

• Examinez les limites d'autorisation et les stratégies de confiance : Si l'utilisateur ou le rôle RAM est soumis à une limite d'autorisation ou à une stratégie de confiance, vérifiez que ces configurations ne restreignent pas les actions requises.

Q : Comment accorder à un utilisateur RAM les autorisations Cloud Monitor requises pour configurer les alertes ApsaraMQ for RocketMQ ?

Les stratégies d'autorisation personnalisées ApsaraMQ for RocketMQ contrôlent uniquement l'accès aux ressources ApsaraMQ for RocketMQ et n'incluent pas les autorisations Cloud Monitor. Pour permettre à un utilisateur RAM de configurer des alertes ApsaraMQ for RocketMQ dans Cloud Monitor, vous devez accorder séparément les autorisations Cloud Monitor à l'utilisateur RAM.

Pour accorder les autorisations en lecture seule requises pour Cloud Monitor :

1. Connectez-vous à la console RAM en utilisant un compte Alibaba Cloud ou un compte administrateur RAM.

2. Dans le volet de navigation de gauche, sélectionnez Identities > Users.

3. Sur la page Users, trouvez l'utilisateur RAM cible et cliquez sur Add Permissions dans la colonne Actions.

4. Dans le panneau Add Permissions, configurez les paramètres suivants :

   • Définissez Authorization Scope selon vos besoins.

   • Définissez Policy Type sur System Policy.

5. Dans la zone de recherche, saisissez AliyunCloudMonitorReadOnlyAccess et sélectionnez la stratégie dans les résultats de recherche.

6. Cliquez sur OK pour enregistrer l'octroi d'autorisation.

Une fois l'autorisation accordée, l'utilisateur RAM peut afficher les métriques Cloud Monitor et configurer des règles d'alerte pour les instances ApsaraMQ for RocketMQ.

Q : Dois-je utiliser des stratégies personnalisées RAM ou ACL pour contrôler les autorisations d'envoi de messages dans un environnement de développement ApsaraMQ for RocketMQ 5.0 ?

Pour contrôler les autorisations d'envoi et de réception de messages dans un environnement de développement ou de test, utilisez ACL (Access Control List) plutôt que des stratégies personnalisées RAM.

• ACL : Conçue pour le contrôle des autorisations d'envoi et de réception de messages au niveau de l'application. ACL vous permet d'accorder à des utilisateurs ou applications spécifiques les autorisations de publier vers ou de s'abonner à des topics spécifiques au sein d'une instance. Cela rend ACL bien adaptée aux scénarios de développement et de test où vous devez simuler des flux de messages ou contrôler quelles applications peuvent interagir avec des topics spécifiques.

• Stratégies personnalisées RAM : Conçues pour la gestion des ressources au niveau du compte Alibaba Cloud. Les stratégies RAM contrôlent les opérations sur les ressources cloud, telles que la création, la modification ou la suppression d'instances, de topics et de groupes de consommateurs ApsaraMQ for RocketMQ. Les stratégies RAM régissent qui peut gérer les ressources ApsaraMQ for RocketMQ, et non qui peut envoyer ou recevoir des messages via ces ressources.

En résumé :