Alibaba Cloud Service Mesh:Grant permissions to RAM users and RAM roles

Attacher une stratégie système

Les étapes suivantes utilisent AliyunASMReadOnlyAccess à titre d'exemple. Pour attacher une autre stratégie système, remplacez le nom de la stratégie à l'étape 4.

Pour plus d'informations, consultez les rubriques Accorder des autorisations à un utilisateur RAM et Accorder des autorisations à un rôle RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Users.

4. Dans le panneau Grant Permission , configurez les paramètres suivants :

   3. Sélectionnez System Policy dans la liste déroulante All Types , saisissez AliyunASMReadOnlyAccess dans la zone de recherche, puis sélectionnez AliyunASMReadOnlyAccess.

      Remarque

      Vous pouvez attacher un maximum de cinq stratégies simultanément. Répétez cette procédure pour en attacher davantage.

   4. Cliquez sur OK.

5. Cliquez sur Close.

Étape 1 : Créer une stratégie personnalisée

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Permissions > Policies.

3. Sur la page Policies , cliquez sur Create Policy.

4. Sur la page Create Policy , cliquez sur l'onglet JSON Editor.

   L'éditeur JSON s'affiche. Le modèle de stratégie par défaut inclut un élément Version (défini sur "1") et un tableau Statement . Chaque instruction comprend les éléments Effect (par défaut "Allow" ), Action , Resource et Condition . Vous devez renseigner les éléments Action et Resource .

5. Saisissez le document de stratégie dans l'éditeur, puis cliquez sur OK.

   L'exemple ci-dessous accorde toutes les autorisations ASM, à l'exception de la gestion des autorisations RBAC. Une identité RAM disposant de cette stratégie peut effectuer toutes les opérations sur les instances ASM, mais ne peut pas attribuer d'autorisations RBAC à d'autres identités.

   Chaque champ de la stratégie remplit une fonction spécifique :

   Champ	Description
   Effect	Indique si les actions spécifiées sont autorisées ou refusées.
   Action	Définit les opérations API à autoriser. Les caractères génériques (*) correspondent à plusieurs opérations.
   Resource	Cible les ressources concernées. Utilisez * pour toutes les ressources, ou spécifiez un ARN pour limiter la portée de la stratégie à une seule ressource.
   Condition	Conditions optionnelles devant être satisfaites pour que la stratégie prenne effet.

      {
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "servicemesh:Add*",
                      "servicemesh:CRBatchDeletion",
                      "servicemesh:Create*",
                      "servicemesh:Delete*",
                      "servicemesh:Describe*",
                      "servicemesh:Enable*",
                      "servicemesh:Disable*",
                      "servicemesh:Get*",
                      "servicemesh:InvokeApiServer",
                      "servicemesh:List*",
                      "servicemesh:Modify*",
                      "servicemesh:Re*",
                      "servicemesh:Run*",
                      "servicemesh:Set*",
                      "servicemesh:Sync*",
                      "servicemesh:Update*",
                      "servicemesh:Upgrade*"
                  ],
                  "Resource": "*"
              },
              {
                  "Effect": "Allow",
                  "Action": [
                      "log:ListLogStores",
                      "log:ListDashboard",
                      "log:GetDashboard",
                      "log:ListSavedSearch",
                      "log:ListProject"
                  ],
                  "Resource": "*"
              },
              {
                  "Effect": "Allow",
                  "Action": "log:GetLogStoreLogs",
                  "Resource": "acs:log:*:*:project/*/logstore/audit-*"
              },
              {
                  "Effect": "Allow",
                  "Action": "log:GetLogStoreLogs",
                  "Resource": "acs:log:*:*:project/*/logstore/istio-*"
              },
              {
                  "Action": "ram:CreateServiceLinkedRole",
                  "Resource": "*",
                  "Effect": "Allow",
                  "Condition": {
                      "StringEquals": {
                          "ram:ServiceName": "servicemesh.aliyuncs.com"
                      }
                  }
              }
          ],
          "Version": "1"
      }

   Pour en savoir plus sur la syntaxe des stratégies, consultez la rubrique Structure et syntaxe des stratégies.

6. Dans la section Basic Information , saisissez un nom dans le champ Name (par exemple, ASMPolicy1), puis cliquez sur OK.

Étape 2 : Attacher la stratégie personnalisée

Si vous souhaitez attacher la stratégie personnalisée à un rôle RAM plutôt qu'à un utilisateur RAM, consultez la rubrique Accorder des autorisations à un rôle RAM.

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Users.

4. Dans le panneau Add Permissions , configurez les paramètres suivants :

   3. Sélectionnez Custom Policy dans la liste déroulante All Types , saisissez ASMPolicy1 dans la zone de recherche, puis sélectionnez ASMPolicy1.

5. Cliquez sur OK.

Accorder des autorisations sur une seule instance ASM

Limitez une identité RAM à la gestion d'une seule instance ASM spécifique.

Remplacez <ServicemeshId> par l'ID de l'instance ASM cible.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "servicemesh:*",
            "Resource": "acs:servicemesh:*:*:servicemesh/<ServicemeshId>"
        },
        {
            "Effect": "Allow",
            "Action": "servicemesh:DescribeServiceMeshes",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "log:GetLogStoreLogs",
            "Resource": "acs:log:*:*:project/*/logstore/audit-<ServicemeshId>"
        },
        {
            "Effect": "Allow",
            "Action": "log:GetLogStoreLogs",
            "Resource": "acs:log:*:*:project/*/logstore/istio-<ServicemeshId>"
        }
    ],
    "Version": "1"
}

Fonctionnement de cette stratégie :

• La première instruction accorde toutes les actions servicemesh:* , mais uniquement sur l'ARN de l'instance spécifiée.

• La deuxième instruction accorde servicemesh:DescribeServiceMeshes sur toutes les ressources, ce qui est nécessaire pour lister les maillages dans la console.

• Les deux dernières instructions accordent l'accès aux journaux, limité à l'instance spécifiée.

Accorder un accès en lecture et écriture aux ressources Istio

Permettez à une identité RAM de gérer les ressources Istio via la console ASM sans modifier d'autres paramètres ASM, tels que les configurations de fonctionnalités.

Cette stratégie s'appuie sur AliyunASMReadOnlyAccess en y ajoutant l'action servicemesh:InvokeApiServer , qui active la gestion des ressources Istio.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "servicemesh:List*",
                "servicemesh:Describe*",
                "servicemesh:Get*",
                "servicemesh:InvokeApiServer"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "log:ListLogStores",
                "log:ListDashboard",
                "log:GetDashboard",
                "log:ListSavedSearch"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "log:GetLogStoreLogs",
            "Resource": "acs:log:*:*:project/*/logstore/audit-*"
        }
    ],
    "Version": "1"
}

Accorder des autorisations de gestion RBAC

Autorisez une identité RAM à gérer les autorisations RBAC d'autres utilisateurs et rôles RAM via la console ASM, sans lui donner accès à la gestion des instances ASM.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "servicemesh:DescribeUserPermissions",
                "servicemesh:GrantUserPermissions",
                "servicemesh:DescribeServiceMeshes",
                "servicemesh:DescribeUsersWithPermissions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ims:ListUserBasicInfos",
            "Resource": "*"
        }
    ],
    "Version": "1"
}