Blockchain as a Service:Authentification RAM pour Hyperledger Fabric

Types de ressources autorisables

Les ressources Hyperledger Fabric dans BaaS utilisent les formats ARN (Alibaba Cloud Resource Name) suivants dans les politiques d'autorisation :

Référence des champs ARN :

• $regionId : région où se trouve la ressource.

• $accountId : ID du compte Alibaba Cloud propriétaire de la ressource.

• $consortiumId / $organizationId / $channelId / $chaincodeId : ID de la ressource dans BaaS.

API autorisées par défaut

Tous les utilisateurs RAM et les détenteurs de jetons STS peuvent accéder aux API suivantes sans politique explicite :

API autorisables

Le tableau ci-dessous répertorie toutes les API nécessitant une autorisation explicite. La colonne Access level indique l'impact de chaque action afin de vous aider à appliquer le principe du moindre privilège :

• List : renvoie une collection de ressources. Impact faible.

• Read : renvoie les détails d'une ressource spécifique ou télécharge des artefacts. Impact faible.

• Write : crée, modifie ou supprime des ressources. Impact plus élevé — définissez soigneusement la portée des autorisations.

Exemples de politiques

{
  "Statement": [
    {
      "Sid": "ReadAllBaaSResources",
      "Action": ["baas:Describe*", "baas:DownloadFabricOrganizationSDK"],
      "Effect": "Allow",
      "Resource": "acs:baas:*:*:*"
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Sid": "ManageAllChaincodes",
      "Action": "baas:*Chaincode",
      "Effect": "Allow",
      "Resource": [
        "acs:baas:*:*:chaincode/*",
        "acs:baas:*:*:organization/*",
        "acs:baas:*:*:consortium/*",
        "acs:baas:*:*:channel/*"
      ]
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Sid": "ReadAllBaaSResources",
      "Action": ["baas:Describe*", "baas:DownloadFabricOrganizationSDK"],
      "Effect": "Allow",
      "Resource": "acs:baas:*:*:*"
    },
    {
      "Sid": "ManageChaincodeInScopedResources",
      "Action": "baas:*Chaincode",
      "Effect": "Allow",
      "Resource": [
        "acs:baas:*:*:chaincode/*",
        "acs:baas:*:*:organization/$organizationId",
        "acs:baas:*:*:consortium/$consortiumId",
        "acs:baas:*:*:channel/$channelId"
      ]
    }
  ],
  "Version": "1"
}