Serverless App Engine:Politiques et exemples

Format ARN des ressources

Le type de ressource SAE que vous pouvez autoriser est application. Le format ARN est le suivant :

acs:sae:${regionid}:${accountid}:application/${namespaceid}/${appid}

Exemples d'ARN

Les exemples suivants utilisent la région Chine (Shanghai) (cn-shanghai).

Une application spécifique dans le namespace test :

acs:sae:cn-shanghai:*:application/test/0c815215-46a1-46a2-ba1e-0102a740****

Toutes les applications du namespace par défaut :

acs:sae:cn-shanghai:*:application/_default/*

Scénario 1 : Accorder des autorisations au niveau du namespace

Objectif : Accorder à un utilisateur RAM un accès en lecture sur l'ensemble de SAE et un accès en écriture complet à des namespaces spécifiques et à leurs applications.

Dans cet exemple, l'utilisateur RAM est autorisé à gérer les ressources liées au namespace par défaut, au namespace dont l'ID est test, ainsi qu'aux applications contenues dans ces namespaces.

Cette politique accorde un accès en écriture complet à l'intégralité du namespace test , y compris à toutes les applications qu'il contient. L'instruction en lecture seule de la première ligne couvre toutes les ressources de la région, mais n'accorde pas d'accès en écriture en dehors du namespace test . Pour accorder également un accès en écriture au namespace par défaut, ajoutez une deuxième entrée de ressource pour acs:sae:cn-shanghai:*:application/_default/* .

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "sae:Query*",
                "sae:List*",
                "sae:Describe*",
                "sae:*Ingress*",
                "sae:*ChangeOrder*",
                "sae:*Pipeline*"
            ],
            "Resource": "acs:sae:cn-shanghai:*:*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "sae:*"
            ],
            "Resource": [
                "acs:sae:cn-shanghai:*:application/test/*"
            ],
            "Effect": "Allow"
        }
    ]
}

Scénario 2 : Accorder des autorisations au niveau de l'application

Objectif : Accorder à un utilisateur RAM un accès en lecture sur l'ensemble de SAE et un accès en écriture complet uniquement à des applications spécifiques.

Dans cet exemple, l'utilisateur RAM peut gérer deux applications spécifiques :

Cette politique restreint l'accès en écriture aux deux applications nommées uniquement. L'utilisateur RAM ne peut pas créer, mettre à jour ni supprimer d'autres applications dans ces namespaces, même si la première instruction accorde un accès en lecture sur toute la région.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "sae:Query*",
                "sae:List*",
                "sae:Describe*",
                "sae:*Ingress*",
                "sae:*ChangeOrder*",
                "sae:*Pipeline*"
            ],
            "Resource": "acs:sae:cn-shanghai:*:*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "sae:*"
            ],
            "Resource": [
                "acs:sae:cn-shanghai:*:application/test/0c815215-46a1-46a2-ba1e-0102a740****",
                "acs:sae:cn-shanghai:*:application/_default/e468a92b-1529-4d20-8ab1-9d1595dc****"
            ],
            "Effect": "Allow"
        }
    ]
}

Scénario 3 : Accorder l'accès aux services Alibaba Cloud associés

Les applications SAE doivent souvent appeler les API d'autres services Alibaba Cloud au moment de l'exécution, par exemple pour accéder aux équilibreurs de charge, aux instances de calcul ou aux données de surveillance. Attachez les politiques système correspondantes à l'utilisateur RAM pour chaque service nécessaire.

Par exemple, accordez à l'utilisateur RAM un accès en lecture seule à ECS (AliyunECSReadOnlyAccess), à SLB (AliyunSLBReadOnlyAccess) et à ARMS (AliyunARMSReadOnlyAccess).

N'attachez que les politiques relatives aux services effectivement utilisés par votre application.