Realtime Compute for Apache Flink:Autorisations du portail de gestion

Qui doit lire cette rubrique

L'utilisation de Resource Access Management (RAM) dépend de votre rôle :

• Utilisateur RAM — Si vous rencontrez une erreur d'autorisation lors de l'accès à la console Flink ou lors de l'exécution d'une opération, contactez l'administrateur de votre compte Alibaba Cloud et demandez-lui de vous attribuer la politique appropriée. Consultez Scénarios d'autorisation pour identifier l'autorisation dont vous avez besoin.

• Administrateur du compte Alibaba Cloud — Déterminez les accès nécessaires pour vos utilisateurs, puis suivez la Procédure d'autorisation pour attacher les politiques adéquates.

• Auteur de politique — Rédigez des politiques personnalisées en combinant les actions issues des Politiques d'autorisation Realtime Compute for Apache Flink et des Opérations d'autorisation pour les produits connexes.

Scénarios d'autorisation

Types de politiques

Une politique d'accès définit un ensemble d'autorisations via une syntaxe et une structure spécifiques. Elle spécifie les ressources autorisées, les opérations permises et les conditions d'autorisation. La console RAM prend en charge deux types de politiques d'accès :

• System policies : Créées et maintenues par Alibaba Cloud. Vous pouvez utiliser ces politiques, mais vous ne pouvez pas les modifier. Le tableau suivant répertorie les politiques système prises en charge par Flink.

  Politique d'accès	Nom	Description
  Accès complet à Realtime Compute for Apache Flink	AliyunStreamFullAccess	Inclut toutes les autorisations des Politiques personnalisées.
  Accès en lecture seule à Realtime Compute for Apache Flink	AliyunStreamReadOnlyAccess	Inclut l'autorisation HasStreamDefaultRole ainsi que toutes les autorisations commençant par Describe, Query, Check, List, Get et Search dans les Politiques d'autorisation Realtime Compute for Apache Flink.
  Affichage et paiement des commandes dans le User Center (BSS)	AliyunBSSOrderAccess	Accorde les autorisations permettant d'afficher et de payer les commandes dans le User Center.
  Désabonnement aux commandes dans le User Center (BSS)	AliyunBSSRefundAccess	Accorde l'autorisation de se désabonner des commandes dans le User Center.

• Custom policies : Créées, mises à jour et supprimées par vos soins. Pour plus d'informations sur les politiques personnalisées prises en charge par Flink et sur leur création, consultez les Politiques d'autorisation Realtime Compute for Apache Flink et l'étape (Facultatif) Étape 1 : Créer une politique personnalisée.

Prérequis

Avant de commencer, assurez-vous d'avoir :

• Consulté les Instructions d'autorisation

Procédure d'autorisation

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole"
      ],
      "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",
      "Effect": "Allow"
    }
  ]
}

Exemples de politiques personnalisées

Tous les exemples ci-dessous suivent le même schéma : commencez par les autorisations en lecture seule pour Realtime Compute for Apache Flink, puis ajoutez les actions spécifiques requises pour la tâche.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "stream:CreateVvpInstance",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "bss:DescribeOrderList",
        "bss:DescribeOrderDetail",
        "bss:PayOrder",
        "bss:CancelOrder"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "bss:DescribeOrderList",
        "bss:DescribeOrderDetail",
        "bss:PayOrder",
        "bss:CancelOrder"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "bss:Describe*",
        "bss:Refund*"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "stream:DeleteVvpInstance"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "stream:ModifyVvpNamespaceSpec"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Politiques personnalisées

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:CreateVvpInstance",
        "stream:DescribeVvpInstances",
        "stream:DeleteVvpInstance",
        "stream:RenewVvpInstance",
        "stream:ModifyVvpPrepayInstanceSpec",
        "stream:ModifyVvpInstanceSpec",
        "stream:ConvertVvpInstance",
        "stream:QueryCreateVvpInstance",
        "stream:QueryRenewVvpInstance",
        "stream:QueryModifyVvpPrepayInstanceSpec",
        "stream:QueryConvertVvpInstance"
      ],
      "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#InstanceId}",
      "Effect": "Allow"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:CreateVvpNamespace",
        "stream:DeleteVvpNamespace",
        "stream:ModifyVvpPrepayNamespaceSpec",
        "stream:ModifyVvpNamespaceSpec",
        "stream:DescribeVvpNamespaces"
      ],
      "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",
      "Effect": "Allow"
    }
  ]
}

Étapes suivantes

• Pour permettre à plusieurs utilisateurs de partager un projet Flink et d'effectuer des opérations telles que le développement de jobs et l'exploitation et maintenance (O&M) dans la console de développement Realtime Compute for Apache Flink, autorisez le projet. Consultez Autorisation de la console de développement.

• Pourquoi ne puis-je pas accéder à la console RAM après avoir cliqué sur Autoriser dans RAM lors de l'activation du service ?

• Pourquoi un message indiquant que le compte actuel ne dispose pas des autorisations requises s'affiche-t-il lorsque je me connecte à la console Realtime Compute for Apache Flink ?

• Pourquoi un utilisateur RAM ne peut-il pas voir les jobs après l'attachement de la stratégie AliyunStreamFullAccess ?

• Que faire si je supprime accidentellement un rôle ou modifie une stratégie d'autorisation, rendant le service Realtime Compute for Apache Flink indisponible ?

• Que faire si je ne dispose pas des autorisations nécessaires pour effectuer une opération et que je dois contacter l'administrateur de rôle ?