Auto Scaling:Stratégies personnalisées pour Auto Scaling

Fonctionnement des stratégies personnalisées

1. Créez une stratégie personnalisée avec les permissions requises par votre cas d'utilisation.

2. Attach la stratégie à un utilisateur RAM, un groupe d'utilisateurs RAM ou un rôle RAM (le principal). La stratégie prend effet immédiatement.

3. Update or version de la stratégie en utilisant le mécanisme de gestion des versions de RAM pour suivre les modifications sans perdre les configurations précédentes.

4. Detach and delete la stratégie lorsqu'elle n'est plus nécessaire. Une stratégie attachée à un principal doit être détachée avant sa suppression.

Restreindre la création de groupes de mise à l'échelle à des tags spécifiques

Utilisez cette stratégie pour imposer une exigence de tag lors de la création. Avec cette stratégie, vous ne pouvez créer un groupe de mise à l'échelle que si vous ajoutez les tags environment:test et team:game1 lors de la requête. Sans ces deux tags, la demande de création est refusée.

{
    "Effect": "Allow",
    "Action": "ess:Create*",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "acs:RequestTag/environment": "test",
            "acs:RequestTag/team": "game1"
        }
    }
}

La clé de condition acs:RequestTag correspond aux tags définis dans la requête. Cela diffère de acs:ResourceTag, qui correspond aux tags déjà appliqués à une ressource existante (voir l'exemple suivant).

Restreindre les opérations aux groupes de mise à l'échelle portant des tags spécifiques

Utilisez cette stratégie lorsque plusieurs groupes de mise à l'échelle existent dans un compte et que vous devez isoler l'accès par équipe ou environnement. Dans cet exemple :

• Le groupe de mise à l'échelle 1 possède les tags environment:test et team:game1.

• Le groupe de mise à l'échelle 2 possède les tags environment:dev et team:game2.

Avec cette stratégie, vous pouvez effectuer toute action ess:* sur le groupe de mise à l'échelle 1, mais l'accès au groupe de mise à l'échelle 2 est explicitement refusé. La troisième instruction autorise les actions liées à Describe et aux Alarm sur toutes les ressources sans conditions de tag, car ces actions ne prennent pas en charge les autorisations au niveau des ressources.

{
    "Version": "1",
    "Statement": [
        {
            "Action": "ess:*",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "acs:ResourceTag/environment": "test",
                    "acs:ResourceTag/Team": "game1"
                }
            }
        },
        {
            "Action": "ess:*",
            "Effect": "Deny",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "acs:ResourceTag/environment": "dev",
                    "acs:ResourceTag/team": "game2"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ess:DescribeRegions",
                "ess:CreateScheduledTask",
                "ess:ModifyScheduledTask",
                "ess:DescribeScheduledTasks",
                "ess:DeleteScheduledTask",
                "ess:CreateAlarm",
                "ess:DescribeAlarms",
                "ess:ModifyAlarm",
                "ess:EnableAlarm",
                "ess:DeleteAlarm"
            ],
            "Resource": "*"
        }
    ]
}

Remarque : La clé acs:ResourceTag/Team utilise une majuscule T dans l'instruction Allow. Cela correspond exactement à la casse de la clé de tag sur le groupe de mise à l'échelle 1. Les comparaisons de clés de tag sont sensibles à la casse ; vérifiez que vos clés de tag correspondent à la casse utilisée dans la stratégie.

Restreindre les opérations à une région spécifique

Utilisez cette stratégie pour limiter l'activité Auto Scaling à une seule région. Dans cet exemple, la stratégie autorise toutes les actions ess:* en Chine (Hangzhou) et les refuse en Chine (Pékin). La troisième instruction autorise globalement les actions Describe et celles liées à la planification, car elles ne prennent pas en charge les autorisations au niveau des ressources.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ess:*",
            "Resource": "acs:ess:cn-hangzhou:160998252992****:*"
        },
        {
            "Effect": "Deny",
            "Action": "ess:*",
            "Resource": "acs:ess:cn-beijing:160998252992****:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ess:DescribeRegions",
                "ess:CreateScheduledTask",
                "ess:ModifyScheduledTask",
                "ess:DescribeScheduledTasks",
                "ess:DeleteScheduledTask",
                "ess:CreateAlarm",
                "ess:DescribeAlarms",
                "ess:ModifyAlarm",
                "ess:EnableAlarm",
                "ess:DeleteAlarm"
            ],
            "Resource": "*"
        }
    ]
}

Le format ARN de la ressource est acs:ess:<region-id>:<account-id>:*. Remplacez <region-id> par l'ID de la région cible (par exemple, cn-hangzhou) et <account-id> par l'ID de votre compte Alibaba Cloud.