Agent Run:Otorisasi kelompok sumber daya dan ruang kerja

Status 1: ListWorkspaces tidak diotorisasi

Tampilan:

• Pemilih kelompok sumber daya di bagian atas halaman menampilkan "all account resources" (diredupkan dan tidak dapat diklik) serta "No resource groups" (diredupkan dan tidak dapat diklik).

• Status otorisasi ruang kerja menampilkan "Unauthorized."

Perilaku:

Untuk memastikan kompatibilitas dengan Pengguna RAM lama, semua fitur tetap berfungsi penuh:

• Semua resource, seperti runtime dan sandbox template, dapat dilihat dan diedit, baik milik default workspace maupun custom workspace.

• Ketika Anda membuat resource baru tanpa menentukan ruang kerja, resource tersebut akan ditetapkan ke default workspace.

Status 2: ListWorkspaces diotorisasi pada tingkat akun

Tampilan:

• Pemilih kelompok sumber daya di bagian atas halaman menampilkan daftar semua kelompok sumber daya.

• Opsi "all account resources" juga ditampilkan dan dapat diklik.

Perilaku:

• Anda dapat melihat data di seluruh kelompok sumber daya.

• Anda dapat membuat dan mengelola resource di kelompok sumber daya mana pun.

Status 3: ListWorkspaces diotorisasi pada tingkat kelompok sumber daya

Tampilan:

• Pemilih kelompok sumber daya di bagian atas halaman hanya menampilkan kelompok sumber daya yang diotorisasi.

• Opsi "all account resources" diredupkan.

Perilaku:

• Jika Anda mengklik "all account resources", status ruang kerja menunjukkan "Unauthorized," dan setiap halaman menampilkan error izin.

• Anda hanya dapat melihat dan mengelola data dalam kelompok sumber daya yang diotorisasi.

Skenario 1: Izin penuh (kebijakan: *)

Kasus penggunaan: Perilaku yang diharapkan sama dalam dua situasi berikut:

• Pengguna RAM lama (sebelumnya dikenal sebagai akun atom) dengan izin penuh (policy diatur ke *) pada tingkat akun.

• Pengguna RAM baru dengan otorisasi tingkat akun untuk semua operasi (policy diatur ke *).

Perilaku yang diharapkan:

• Anda memiliki akses ke semua halaman tanpa error.

• Pemilih kelompok sumber daya di bagian atas halaman menampilkan "all account resources" dan semua kelompok sumber daya, semuanya dapat diklik.

• Anda dapat melihat dan mengelola resource di semua ruang kerja dalam Akun Alibaba Cloud.

• Anda dapat menetapkan resource baru ke ruang kerja mana pun.

Skenario 2: Izin kustom lama (tanpa ListWorkspaces)

Kasus penggunaan: Pengguna RAM lama (sebelumnya dikenal sebagai akun atom) memiliki izin kustom yang tidak mencakup operasi ListWorkspaces.

Perilaku yang diharapkan:

• Anda memiliki akses ke semua halaman tanpa error.

• Pemilih kelompok sumber daya di bagian atas halaman menampilkan "all account resources" (diredupkan) dan "No resource groups" (diredupkan).

• Status otorisasi ruang kerja adalah "Unauthorized."

• Anda dapat mengakses semua resource, termasuk yang berada di custom workspace.

• Ketika Anda membuat resource baru, resource tersebut ditetapkan ke default workspace.

Skenario 3: Tidak ada izin

Kasus penggunaan: Pengguna RAM baru tanpa izin apa pun.

Perilaku yang diharapkan:

• Anda dapat mengakses halaman Agent template, Super Agent, dan Permissions and Services.

• Halaman lain menampilkan error "No Permission".

• Pemilih kelompok sumber daya di bagian atas halaman menampilkan "all account resources" (diredupkan) dan "No resource groups" (diredupkan).

• Status otorisasi ruang kerja adalah "Unauthorized."

Skenario 4: Otorisasi detail halus

Kasus penggunaan: Pengguna RAM baru memerlukan izin detail halus yang dikonfigurasi sesuai prinsip hak istimewa minimal.

Konfigurasi izin yang direkomendasikan:

Perilaku yang diharapkan:

• Pemilih kelompok sumber daya di bagian atas halaman hanya menampilkan kelompok sumber daya yang diotorisasi. Opsi "all account resources" diredupkan, dan mengkliknya menghasilkan error izin.

• Dalam kelompok sumber daya yang diotorisasi, Anda dapat melihat dan mengelola resource di semua ruang kerja yang termasuk dalam kelompok sumber daya tersebut.

Variasi: Jika Anda memberikan izin tingkat akun untuk operasi terkait runtime, sandbox template, model, memory, knowledge base, credential, dan operasi workspace lainnya, sementara tetap mempertahankan izin ListWorkspaces pada tingkat kelompok sumber daya, tampilan halaman tetap sama. Namun, cakupan resource yang terlihat lebih luas: dalam kelompok sumber daya yang diotorisasi, Anda dapat melihat semua resource tingkat akun saat melihat kelompok sumber daya tersebut, bukan hanya resource yang dimilikinya.

Skenario 5: Visibilitas tingkat akun dengan manajemen tingkat kelompok sumber daya

Kasus penggunaan: Pengguna RAM perlu melihat semua kelompok sumber daya tetapi hanya dapat mengelola data di kelompok sumber daya tertentu.

Konfigurasi izin:

Perilaku yang diharapkan:

• Pemilih kelompok sumber daya di bagian atas halaman menampilkan semua kelompok sumber daya, dan semuanya dapat diklik.

• Ketika Anda beralih ke kelompok sumber daya yang tidak memiliki izin, halaman seperti halaman runtime akan menampilkan error izin.

• Anda dapat melihat dan mengelola resource sebagaimana mestinya dalam kelompok sumber daya yang diotorisasi.

Skenario 6: Otorisasi spesifik ruang kerja

Kasus penggunaan: Anda perlu mengontrol izin pada tingkat ruang kerja tertentu.

Konfigurasi: Berdasarkan Skenario 4, persempit cakupan resource kebijakan dari tingkat kelompok sumber daya ke ruang kerja tertentu, misalnya dengan menentukan ARN ruang kerja tersebut.

Perilaku yang diharapkan:

• Pemilih kelompok sumber daya di bagian atas halaman hanya menampilkan kelompok sumber daya yang diotorisasi.

• Dalam kelompok sumber daya yang diotorisasi, jika Anda beralih ke ruang kerja yang tidak memiliki izin, tindakan seperti melihat, membuat, dan memperbarui akan gagal karena izin tidak mencukupi.

• Semua operasi berfungsi sebagaimana mestinya dalam ruang kerja yang diotorisasi.