OpenSearch:Règles de contrôle d'accès

Les applications OpenSearch que vous créez avec votre compte Alibaba Cloud appartiennent à ce compte. Par défaut, votre compte dispose de toutes les autorisations nécessaires pour gérer ces ressources. Utilisez le service Alibaba Cloud Resource Access Management (RAM) pour autoriser les utilisateurs RAM à accéder à vos ressources OpenSearch et à les gérer.

Les modifications apportées aux autorisations d'un utilisateur RAM prennent effet après un délai de 5 minutes.

Un utilisateur RAM a besoin d'un ensemble minimal d'autorisations communes pour se connecter à la console OpenSearch. Cela inclut généralement les autorisations pour rechercher dans une application, afficher la liste des applications, consulter les détails d'une application, accéder à la surveillance et aux alertes, ainsi qu'autoriser l'accès RDS. Les exemples suivants sont fournis à titre indicatif.

Autorisations minimales pour rechercher dans une application

Pour tester la fonctionnalité de récupération de documents en envoyant des requêtes de recherche à une application via un SDK, vous avez besoin d'autorisations pour rechercher dans cette application. L'exemple suivant présente une stratégie pour un test de recherche sur une application nommée app_schema_demo.

{
    "Statement": [
    {
            "Effect": "Allow",
            "Action": "opensearch:SearchApp",
            "Resource": "acs:opensearch:*:*:apps/app_schema_demo"
        }
    ],
    "Version": "1"
}

Autorisations pour afficher la liste des applications

Après la connexion d'un utilisateur RAM, celui-ci a besoin d'une autorisation pour afficher la liste des applications dans la console.

{
    "Statement": [
        {
            "Action": [
                "opensearch:ListAppGroup",
                "opensearch:DescribeAppStatistics",
                "opensearch:ListAppGroupErrors"
            ],
            "Effect": "Allow",
            "Resource": "acs:opensearch:*:*:app-groups/*"
        }
    ],
    "Version": "1"
}

Autorisations pour afficher les détails de l'application

La fonctionnalité de surveillance et d'alertes est intégrée à la page des détails de l'application. Par conséquent, l'utilisateur RAM nécessite une autorisation pour afficher les détails de l'application. L'exemple suivant montre la stratégie permettant d'afficher les détails d'une application nommée app_schema_demo.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "opensearch:DescribeAppGroup",
                "opensearch:ListApp",
                "opensearch:DescribeApp"
            ],
            "Resource": "acs:opensearch:*:*:app-groups/app_schema_demo"
        },
        {
            "Action": "opensearch:ListUserAnalyzers",
            "Effect": "Allow",
            "Resource": "acs:opensearch:*:*:user-analyzers/*"
        }
    ],
    "Version": "1"
}

Autorisations pour la surveillance et les alertes

La fonctionnalité de surveillance et d'alertes utilise le service Alibaba Cloud CloudMonitor. Recherchez AliyunCloudMonitorReadOnlyAccess dans les modèles de stratégie RAM pour afficher la stratégie en lecture seule pour CloudMonitor.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "cms:Get*",
                "cms:List*",
                "cms:Query*",
                "cms:BatchQuery*"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "opensearch:DescribeApp",
            "Resource": "acs:opensearch:*:*:app-groups/*",
            "Effect": "Allow"
        }
    ]
}

Autorisation d'accès RDS

L'accès à RDS implique deux opérations API : tables et champs. Étant donné que l'accès à RDS nécessite l'ajout de son adresse IP à une liste d'autorisation, vous devez également accorder à l'utilisateur RAM l'autorisation de configurer la liste d'autorisation IP. (Sans cette autorisation, la connexion à RDS échouera avec une erreur indiquant que la liste d'autorisation IP n'a pas pu être définie). Configurez l'autorisation RDS directement dans la console RAM. Sur la page de présentation, créez une stratégie d'autorisation personnalisée ou un rôle, puis accordez des autorisations à l'utilisateur RAM sur la page de gestion des utilisateurs (référence d'autorisation RDS). L'ensemble minimal d'autorisations pour qu'OpenSearch utilise RDS est le suivant :

• Pour plus d'informations, consultez Signification des variables dans Resource (par exemple, $regionid, $accountid et $dbinstanceid).

• Vous pouvez également utiliser le caractère générique * pour les valeurs de paramètre dans Resource.

  {
    "Version": "1",
    "Statement": [
        {
            "Action": "rds:DescribeDBInstanceAttribute",
            "Resource": "acs:rds:$regionid:$accountid:dbinstance/$dbinstanceid",
            "Effect": "Allow"
        },
        {
            "Action": "rds:ModifySecurityIps",
            "Resource": "acs:rds:$regionid:$accountid:dbinstance/$dbinstanceid",
            "Effect": "Allow"
        },
        {
            "Action": "rds:DescribeDBInstanceIPArrayList",
            "Resource": "acs:rds:$regionid:$accountid:dbinstance/$dbinstanceid",
            "Effect": "Allow"
        },
        {
            "Action": "rds:DescribeDBInstanceNetInfoForChannel",
            "Resource": "acs:rds:$regionid:$accountid:dbinstance/$dbinstanceid",
            "Effect": "Allow"
        }
    ]
  }

Autorisations d'accès API

Pour rechercher, pousser des données ou accéder aux modèles de suggestion via les API, accordez les autorisations suivantes.

{
	"Statement": [
	 {
	  "Effect": "Allow",
	  "Action": [
	   "opensearch:PushDoc",
	   "opensearch:SearchApp"
	  ],
	  "Resource": [
	   "acs:opensearch:$regionId:*:apps/$appGroupName",
	   "acs:opensearch:$regionId:*:app-groups/$appGroupName"
	  ]
	 },
	 {
	  "Action": "opensearch:SearchSuggest",
	  "Effect": "Allow",
	  "Resource": "acs:opensearch:$regionId:*:suggestions/$suggestionIdentity"
	 }
	],
	"Version": "1"
   }

Une fois que vous avez déterminé quelles applications un utilisateur RAM doit gérer, une combinaison de plusieurs autorisations action est souvent requise pour se connecter à la console. Accordez à l'utilisateur RAM les autorisations Describe* et List*, ou attribuez une combinaison spécifique d'autorisations en fonction de votre cas d'utilisation.

Référence (1)

Cette stratégie accorde à un utilisateur RAM du compte Alibaba Cloud 1234 l'intégralité des autorisations pour gérer toutes les applications dans toutes les régions. Après avoir créé cette stratégie dans la console du compte Alibaba Cloud, attribuez-la à l'utilisateur RAM dans la console RAM ou via le SDK RAM.

{
  "Statement": [
    {
      "Action": "opensearch:*",
      "Effect": "Allow",
      "Resource": "acs:opensearch:*:1234:apps/*"
    }
  ],
  "Version": "1"
}

1. Créez une stratégie.

2. Accordez cette stratégie à l'utilisateur RAM spécifié.

Référence (2)

Cette stratégie accorde à un utilisateur RAM du compte Alibaba Cloud 1234 l'intégralité des autorisations pour gérer toutes les applications dans la région Chine (Hangzhou). Après avoir créé cette stratégie dans la console du compte Alibaba Cloud, attribuez-la à l'utilisateur RAM dans la console RAM ou via le SDK RAM.

1. Créez une stratégie.

{
  "Statement": [
    {
      "Action": "opensearch:*",
      "Effect": "Allow",
      "Resource": "acs:opensearch:cn-hangzhou:1234:apps/*"
    }
  ],
  "Version": "1"
}

2. Accordez cette stratégie à l'utilisateur RAM spécifié.

Lorsqu'un utilisateur RAM accède à la console, un message « Échec de l'authentification de l'utilisateur RAM » peut apparaître. Si cette erreur se produit, cliquez d'abord sur le lien Error Details. Ensuite, dans la section PARAMS, repérez le champ action. Sa valeur correspond à l'action POP demandée. Suivez ces étapes :

• Identifiez l'action POP demandée, par exemple ListAppGroups. Si l'action possède un suffixe DryRun, l'action correspondante est le nom sans ce suffixe. Par exemple, CreateAppDryRun correspond à l'action CreateApp.

• Accédez à la liste des règles d'autorisation d'application pour trouver l'action RAM et le modèle de ressource correspondants pour ListAppGroups. (Remarque : l'

  action RAM peut ne pas être identique à l'action POP.)

• Enfin, créez une stratégie d'autorisation qui accorde les autorisations requises à l'utilisateur RAM.