Platform For AI:Accorder des autorisations sur les groupes de ressources de calcul IA

Informations générales

Les autorisations RAM s'appliquent à la gestion des ressources cloud-native (ressources de calcul générales et ressources Lingjun) ainsi qu'aux quotas de ressources.

Pool de ressources

Un pool de ressources gère les ressources de calcul IA achetées au sein de groupes de ressources dédiés (ResourceGroup).

Pour plus d'informations, consultez la rubrique Présentation.

Quota de ressources

Un quota de ressources représente un sous-ensemble de ressources de calcul IA allouées à partir d'un pool de ressources. Une fois qu'un quota de ressources est associé à un espace de travail, les membres peuvent utiliser ces ressources pour le développement IA et le déploiement de services en ligne. Pour plus d'informations, consultez la rubrique Présentation.

Les quotas de ressources suivent une structure arborescente, comme illustré ci-dessous. Un quota de ressources créé à partir d'un pool de ressources est appelé quota de ressources racine. Chaque quota racine peut être divisé en plusieurs quotas enfants, et chaque quota enfant peut être subdivisé davantage.

Procédure

1. Créez un utilisateur RAM. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM.

2. Créez une stratégie personnalisée. Pour plus d'informations, consultez la section « Créer une stratégie personnalisée dans l'onglet JSON » de la rubrique Créer des stratégies personnalisées.

   Pour connaître les autorisations accordées par différentes stratégies personnalisées, consultez les Exemples.

3. Attachez la stratégie personnalisée à l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Accorder des autorisations à un utilisateur RAM.

Exemples

Autorisations de gestion du pool de ressources

Les utilisateurs RAM disposant d'autorisations de gestion du pool de ressources peuvent consulter, créer, mettre à jour et supprimer des groupes de ressources dédiés dans le pool de ressources.

Exemple de stratégie :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "pai:*ResourceGroup*"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:DescribeSecurityGroups"
      ],
      "Resource": "*"
    }
  ]
}

Autorisations de création, de mise à l'échelle et de suppression des quotas de ressources racines

Un quota de ressources racine (premier niveau) puise des ressources de calcul dans les groupes de ressources associés d'un pool de ressources. Vous pouvez sélectionner un ou plusieurs groupes de ressources. Par conséquent, la création ou la mise à l'échelle d'un quota de ressources racine nécessite des autorisations à la fois pour le pool de ressources et pour le quota de ressources.

L'exemple de stratégie suivant accorde des autorisations Get, List et Update pour trois pools de ressources : resourcegroup1, resourcegroup2 et resourcegroup3. Un utilisateur RAM autorisé ne peut créer un quota de ressources racine qu'en allouant des ressources à partir de ces trois pools de ressources.

"acs:pai:*:*:quota/*" indique qu'un utilisateur disposant de cette stratégie peut opérer sur tous les arbres de quotas de ressources, mais que les sources de ressources sont limitées aux groupes de ressources resourcegroup1, resourcegroup2 et resourcegroup3.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "pai:GetResourceGroup",
        "pai:ListResourceGroups",
        "pai:UpdateResourceGroup"
      ],
      "Resource": [
        "acs:pai:*:*:resourcegroup/resourcegroup1",
        "acs:pai:*:*:resourcegroup/resourcegroup2",
        "acs:pai:*:*:resourcegroup/resourcegroup3"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "pai:CreateQuota",
        "pai:UpdateQuota",
        "pai:ScaleQuota",
        "pai:DeleteQuota",
        "pai:GetQuota",
        "pai:ListQuotas"
      ],
      "Resource": [
        "acs:pai:*:*:quota/*"
      ]
    }
  ]
}

Autorisations de gestion des quotas de ressources racines

La gestion d'un quota de ressources racine ne nécessite pas d'autorisations sur le pool de ressources. Par exemple, un utilisateur RAM disposant d'autorisations de gestion pour quota1 peut :

• Consulter quota1.

• Mettre à jour les métadonnées de quota1, telles que le tag et la description.

• Gérer les quotas de ressources enfants de quota1 : créer, mettre à jour, mettre à l'échelle et supprimer.

La stratégie pour quota1 contient deux instructions Statement. La première instruction Statement définit les autorisations pour l'arbre de quotas de ressources ayant pour racine quota1. La seconde instruction Statement définit les autorisations pour quota1 lui-même.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "pai:CreateQuota",
        "pai:UpdateQuota",
        "pai:ScaleQuota",
        "pai:DeleteQuota",
        "pai:GetQuota",
        "pai:ListQuotas"
      ],
      "Resource": [
        "acs:pai:*:*:quota/quota1/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "pai:UpdateQuota",
        "pai:GetQuota",
        "pai:ListQuotas"
      ],
      "Resource": [
        "acs:pai:*:*:quota/quota1"
      ]
    }
  ]
}

Autorisations de gestion des quotas de ressources enfants

Par exemple, un utilisateur RAM disposant d'autorisations de gestion pour quota1.2 peut :

• Consulter quota1.2.

• Mettre à jour les métadonnées de quota1.2, telles que le tag et la description.

• Gérer les quotas de ressources enfants de quota1.2 : créer, mettre à jour, mettre à l'échelle et supprimer.

La stratégie de gestion de quota1.2 contient deux instructions Statement : la première définit les autorisations pour l'arbre de quotas de ressources ayant pour racine quota1.2, et la seconde définit les autorisations pour quota1.2 lui-même.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "pai:CreateQuota",
        "pai:UpdateQuota",
        "pai:ScaleQuota",
        "pai:DeleteQuota",
        "pai:GetQuota",
        "pai:ListQuotas"
      ],
      "Resource": [
        "acs:pai:*:*:quota/*/quota1.2/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "pai:UpdateQuota",
        "pai:GetQuota",
        "pai:ListQuotas"
      ],
      "Resource": [
        "acs:pai:*:*:quota/*/quota1.2"
      ]
    }
  ]
}

Autorisations VPC

Si vous achetez des ressources Lingjun dans la région Chine (Ulanqab), la configuration VPC est disponible lors de la création de quotas de ressources racines et enfants dans la PAI console. Ajoutez les autorisations VPC suivantes à votre stratégie liée aux quotas :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:DescribeSecurityGroups"
      ],
      "Resource": "*"
    }
  ]
}