Accorder des autorisations de gestion d'instances à un utilisateur RAM - E-MapReduce

Informations générales

Resource Access Management (RAM) est un service Alibaba Cloud qui contrôle l'accès à vos ressources. Pour plus d'informations, consultez Qu'est-ce que Resource Access Management ?. Voici les cas d'utilisation courants de RAM dans EMR Serverless StarRocks :

Utilisateur : Si vous achetez des instances EMR Serverless StarRocks et que plusieurs membres de votre organisation (ingénieurs DevOps, développeurs ou analystes de données) doivent y accéder, créez une politique pour leur accorder des autorisations spécifiques. Cette pratique évite de partager une même clé AccessKey entre plusieurs personnes.
Groupe d'utilisateurs : Créez plusieurs groupes d'utilisateurs et associez-leur différentes politiques d'autorisation afin de gérer les droits par lots. La procédure d'octroi d'autorisations à un groupe d'utilisateurs est identique à celle d'un utilisateur individuel.

Politiques et rôles

Politiques et rôles système

EMR Serverless StarRocks utilise les politiques suivantes.

Nom de la politique

Description

AliyunEMRStarRocksFullAccess

Accorde des droits d'administrateur sur EMR Serverless StarRocks, y compris l'accès à toutes les opérations et fonctionnalités.

AliyunEMRStarRocksReadOnlyAccess

Permet aux utilisateurs de consulter la liste des instances et leurs détails, mais interdit la création, la mise à jour ou la modification des instances.

AliyunBSSOrderAccess

Accorde les autorisations nécessaires pour afficher, payer et annuler des commandes dans le Centre de facturation (BSS). Cette politique est requise pour mettre à niveau ou rétrograder les configurations d'instance et renouveler les instances dans la console.

AliyunSLBFullAccess

Accorde les autorisations de gestion de Server Load Balancer (SLB), ce qui permet de configurer des listes d'autorisation (whitelists) de réseau public ou privé pour une instance EMR Serverless StarRocks.

EMR Serverless StarRocks utilise le rôle suivant.

Nom du rôle

Description

AliyunEMRStarRocksAccessingOSSRole

EMR Serverless StarRocks utilise ce rôle pour accéder à vos données stockées dans Object Storage Service (OSS).

Politique personnalisée

Si vous maîtrisez les API des services Alibaba Cloud et avez besoin d'un contrôle granulaire des autorisations, créez une politique personnalisée. Pour plus d'informations, consultez Structure et syntaxe des politiques. Concevez soigneusement le script de la politique lors de sa création.

Procédure

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez Identities > User.
Sur la page Users, recherchez l'utilisateur RAM concerné et cliquez sur Add Permissions dans la colonne Actions.

Vous pouvez également sélectionner plusieurs utilisateurs RAM et cliquer sur Add Permissions en bas de la page pour leur accorder des autorisations simultanément.

Dans le panneau Add Authorization, sélectionnez une étendue, un principal et une politique.

Paramètre	Description
Resource scope	Account : Les autorisations s'appliquent au compte Alibaba Cloud actuel. ResourceGroup : Les autorisations s'appliquent uniquement au groupe de ressources spécifié.
Principal	L'utilisateur RAM à autoriser.
Policy	Sous System Policy, saisissez StarRocks pour rechercher les politiques liées à EMR Serverless StarRocks. Cliquez sur la politique à associer. Pour plus de détails sur chaque politique, consultez Politiques et rôles.

Cliquez sur Confirm.

Les autorisations prennent effet immédiatement. Utilisez ensuite l'utilisateur RAM autorisé pour vous connecter à la console EMR Serverless et effectuer les opérations associées.

FAQ

Pourquoi un utilisateur RAM ne peut-il plus soudainement afficher la liste des instances et reçoit-il une demande d'autorisation ?

Description du problème : Après la connexion, un utilisateur RAM ne peut pas afficher la liste des instances et le système demande une autorisation. Ce problème survient même si l'utilisateur RAM est associé au rôle AliyunServiceRoleForEMRStarRocks et que la politique d'autorisation n'a pas été modifiée.
Cause :
- Restriction au niveau du groupe de ressources.
  
  La politique AliyunEMRStarRocksReadOnlyAccess associée à l'utilisateur RAM est accordée au niveau du resource group-level, mais la nouvelle logique d'authentification exige que la politique soit accordée au niveau du account-level.
- Autorisations insuffisantes pour le rôle lié au service.
  
  Bien que l'utilisateur RAM soit associé au rôle AliyunServiceRoleForEMRStarRocks , ce rôle lié au service ne dispose pas des autorisations requises au niveau du compte pour l'opération API ram:GetRole .
Solution :
- Modifiez l'étendue de la politique existante pour la définir au niveau du compte.
- Ajoutez une politique personnalisée au niveau du compte.
  
  Si vous ne pouvez pas modifier l'étendue de la politique existante, associez une politique personnalisée supplémentaire au niveau du compte pour AliyunServiceRoleForEMRStarRocks à l'utilisateur RAM. La politique est la suivante :
```
{
  "Action": ["ram:GetRole"],
  "Resource": "acs:ram:*:*:role/AliyunServiceRoleForEMRStarRocks",
  "Effect": "Allow"
}
```