E-MapReduce:Utiliser les groupes de ressources pour un contrôle fin des ressources

Fonctionnement

Organisez et gérez les ressources de votre compte Alibaba Cloud via des groupes de ressources. Par exemple, créez un groupe par projet et déplacez-y les ressources associées pour une gestion centralisée. Pour en savoir plus, voir Qu'est-ce qu'un groupe de ressources ?.

Une fois les ressources regroupées, attribuez des autorisations spécifiques à différents mandataires (utilisateurs RAM, groupes d'utilisateurs RAM ou rôles RAM). Cette configuration limite l'accès du mandataire aux seules ressources du groupe ciblé. Pour plus de détails, consultez Regroupement des ressources et autorisation.

Cette approche offre les avantages suivants :

• Autorisations granulaires : chaque identité ne dispose que des permissions strictement nécessaires. L'isolation des ressources par projet prévient toute manipulation accidentelle inter-projets.

• Évolutivité : l'ajout d'une ressource au groupe confère automatiquement au mandataire assigné les autorisations requises, sans étape supplémentaire.

Accorder des autorisations au niveau du groupe à un utilisateur RAM

Cette section décrit la procédure d'attribution à un RAM user des autorisations sur les ressources EMR Serverless StarRocks contenues dans un groupe de ressources spécifique.

Types de ressources pris en charge

Le tableau suivant répertorie les types de ressources EMR Serverless StarRocks compatibles avec les groupes de ressources.

Actions sans autorisation au niveau du groupe de ressources

Les actions EMR Serverless StarRocks suivantes ne prennent pas en charge l'autorisation au niveau du groupe de ressources :

Définir la portée de la ressource sur resource group level reste sans effet pour les actions incompatibles avec l'autorisation au niveau du groupe. Si un utilisateur RAM nécessite des autorisations pour ces actions, accordez-les au account level via une stratégie d'autorisation personnalisée.

Voici deux exemples de stratégies d'autorisation personnalisées. Adaptez-les selon vos besoins métier.

• Autorisez toutes les actions en lecture seule incompatibles avec l'autorisation au niveau du groupe de ressources, comme indiqué dans l'élément Action ci-dessous.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "sr:CheckInventory",
          "sr:DescribeBackups",
          "sr:DescribeElasticScalingTasks",
          "sr:DescribeEventNames",
          "sr:DescribeEvents",
          "sr:DescribeMaintainableTimePeriods",
          "sr:DescribeTimeTriggerScalingRules",
          "sr:GetDmsConnectionInfo",
          "sr:GetFeatureGate",
          "sr:ListKmsKeys",
          "sr:ListTagResources",
          "sr:QueryApmComponents",
          "sr:QueryCreateNodeGroupPrice",
          "sr:QueryEnableMultiAzPrice",
          "sr:QueryMinorVersion",
          "sr:QueryPrice",
          "sr:QueryPriceV1"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Autorisez toutes les actions incompatibles avec l'autorisation au niveau du groupe de ressources, comme indiqué dans l'élément Action ci-dessous.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "sr:AddBackupPolicy",
          "sr:ApplyScalingRules",
          "sr:CancelBackupTask",
          "sr:CheckInventory",
          "sr:CreateInnerIpWhitelistGroup",
          "sr:CreateInstance",
          "sr:CreateInstanceV1",
          "sr:CreateNodeGroup",
          "sr:CreateScalingRule",
          "sr:CreateServiceLinkedRole",
          "sr:DeleteBackupPolicy",
          "sr:DeleteGateway",
          "sr:DeleteInnerIpWhitelistGroup",
          "sr:DeleteScalingRule",
          "sr:DescribeBackups",
          "sr:DescribeElasticScalingTasks",
          "sr:DescribeEventNames",
          "sr:DescribeEvents",
          "sr:DescribeMaintainableTimePeriods",
          "sr:DescribeTimeTriggerScalingRules",
          "sr:DiagnosticWorkloadResultV1",
          "sr:DiagnosticWorkloadTaskMetricsV1",
          "sr:DiagnosticWorkloadTasksV1",
          "sr:DiagnosticWorkloadV1",
          "sr:EnableMultiAz",
          "sr:EnableSSLConnection",
          "sr:GetDmsConnectionInfo",
          "sr:GetFeatureGate",
          "sr:InnerDescribeNodeGroups",
          "sr:InstallAuditLoader",
          "sr:KillBigQuery",
          "sr:ListKmsKeys",
          "sr:ListTagResources",
          "sr:ModifyScalingRule",
          "sr:QueryApmComponents",
          "sr:QueryCreateNodeGroupPrice",
          "sr:QueryEnableMultiAzPrice",
          "sr:QueryMinorVersion",
          "sr:QueryPrice",
          "sr:QueryPriceV1",
          "sr:RestartNodeGroup",
          "sr:RestoreInstance",
          "sr:RollbackUpgradeVersion",
          "sr:TagResources",
          "sr:ToggleAutoMinorVersionUpgrade",
          "sr:UnTagResources",
          "sr:UninstallAuditLoader",
          "sr:UpdateBackup",
          "sr:UpdateBackupPolicy",
          "sr:UpdateGateway",
          "sr:UpdateInnerIpWhitelistGroup",
          "sr:UpdateNodeGroupDescription"
        ],
        "Resource": "*"
      }
    ]
  }
  

FAQ