Accorder des autorisations personnalisées aux utilisateurs RAM sur Tair (Redis OSS-compatible) -

Si les stratégies système ne répondent pas à vos besoins, créez des stratégies personnalisées afin d'appliquer le principe du moindre privilège. Ces stratégies permettent une gestion fine des permissions et renforcent la sécurité de l'accès aux ressources. Cette rubrique décrit les scénarios courants d'utilisation des stratégies personnalisées pour Tair (Redis OSS-compatible) et fournit des exemples.

Qu'est-ce qu'une stratégie personnalisée ?

Les stratégies Resource Access Management (RAM) se divisent en stratégies système et stratégies personnalisées. Vous gérez les stratégies personnalisées selon vos exigences métier.

Après avoir créé une stratégie personnalisée, attachez-la à un utilisateur RAM, à un groupe d'utilisateurs RAM ou à un rôle RAM. Les permissions définies dans la stratégie sont ainsi accordées à l'entité.
Vous pouvez supprimer une stratégie RAM non attachée à une entité. Si la stratégie est attachée, détachez-la préalablement de l'entité avant de la supprimer.
Les stratégies personnalisées prennent en charge le contrôle de version. Gérez les versions de vos stratégies personnalisées grâce au mécanisme de gestion des versions fourni par RAM.

Références

Scénarios courants et exemples

Le code suivant présente des exemples de stratégies personnalisées courantes. Remplacez Instance ID dans le code par l'ID réel de votre instance.

Permissions de gestion complète sur une seule instance

La stratégie suivante accorde des permissions de gestion complète sur l'instance spécifiée :

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kvstore:*",
            "Resource": "acs:kvstore:*:*:*/<Instance ID>",
            "Condition": {}
        },
        {
            "Action": "kvstore:Describe*",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Permissions de gestion complète sur plusieurs instances

La stratégie suivante accorde des permissions de gestion complète sur plusieurs instances spécifiées :

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kvstore:*",
            "Resource": [
                "acs:kvstore:*:*:*/<Instance ID>",
                "acs:kvstore:*:*:*/<Instance ID>"
            ],
            "Condition": {}
        },
        {
            "Action": "kvstore:Describe*",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Permissions de gestion complète sur les instances portant un tag spécifique

La stratégie suivante accorde des permissions de gestion complète sur les instances associées au tag spécifié, tel que le tag TagKey:TagValue dans le code ci-dessous. Toutefois, vous ne pouvez ni ajouter ni supprimer de tags.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kvstore:DescribeInstances",
                "kvstore:ListTagResources",
                "kvstore:DescribeParameterTemplates",
                "kvstore:DescribeHistoryMonitorValues",
                "sts:AssumeRole",
                "hdm:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "kvstore:TagResources",
                "kvstore:UntagResources"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "kvstore:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "acs:ResourceTag/TagKey": [
                        "TagValue"
                    ]
                }
            }
        }
    ]
}

Permissions de modification des listes d'autorisation pour une seule instance

La stratégie suivante accorde les permissions nécessaires pour modifier les listes d'autorisation IP de l'instance spécifiée :

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kvstore:ModifySecurityIps",
            "Resource": "acs:kvstore:*:*:*/<Instance ID>",
            "Condition": {}
        },
        {
            "Action": "kvstore:Describe*",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Permissions pour l'analyse hors ligne des clés

La stratégie suivante accorde les permissions permettant d'analyser les clés hors ligne sur l'instance spécifiée :

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "hdm:CreateCacheAnalysisTask",
                "hdm:DescribeCacheAnalysisReportList",
                "hdm:DescribeCacheAnalysisReport",
                "hdm:CreateCacheAnalysisJob",
                "hdm:DescribeCacheAnalysisJob",
                "hdm:DescribeCacheAnalysisJobs",
                "hdm:GetInstanceLatestBackup"
            ],
            "Resource": "acs:kvstore:*:*:instance/<Instance ID>",
            "Condition": {}
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "hdm.aliyuncs.com"
                }
            }
        }
    ]
}

Références

Pour utiliser des stratégies personnalisées, vous devez comprendre les exigences de contrôle d'accès de votre activité ainsi que les informations d'autorisation relatives à Tair (Redis OSS-compatible). Pour plus d'informations, consultez la section Autorisation RAM.