Otorisasi RAM - Alibaba Cloud Linux - Alibaba Cloud Documentation Center

Resource Access Management (RAM) adalah layanan Alibaba Cloud yang dirancang untuk manajemen identitas pengguna dan kontrol izin akses resource. Melalui RAM, Anda dapat menerapkan prinsip least privilege tanpa perlu membagikan kunci akun Alibaba Cloud Anda kepada pengguna lain. RAM menggunakan kebijakan izin untuk menentukan otorisasi. Topik ini menjelaskan struktur umum kebijakan RAM, serta elemen pernyataan kebijakan (Action, Resource, dan Condition) yang didefinisikan oleh Alibaba Cloud Linux untuk kebijakan izin RAM. Kode RAM (RamCode) untuk Alibaba Cloud Linux adalah sysom , dan granularitas otorisasi yang didukung adalah RESOURCE .

Struktur umum kebijakan

Kebijakan izin menggunakan format JSON dengan struktur umum berikut:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

Berikut adalah penjelasan untuk setiap field dalam kebijakan

Version: Menentukan nomor versi kebijakan. Nilainya tetap 1.
Statement:
- Effect: Menentukan hasil otorisasi. Nilai yang valid: Allow dan Deny.
- Action: Menentukan satu atau beberapa operasi yang diizinkan atau ditolak.
- Resource: Menentukan objek spesifik yang terpengaruh oleh operasi tersebut. Anda dapat menggunakan Alibaba Cloud Resource Names (ARNs) untuk mengidentifikasi resource tertentu.
- Condition: Menentukan kondisi agar otorisasi berlaku. Field ini bersifat opsional.
  - Condition operator: Menentukan operator kondisional. Setiap jenis kondisi mendukung operator kondisional yang berbeda.
  - Condition_key: Menentukan condition key.
  - Condition_value: Menentukan nilai kondisi.

Action

Tabel berikut mencantumkan action yang didefinisikan oleh Alibaba Cloud Linux. Setiap kolom dalam tabel dijelaskan sebagai berikut:

Action: Dapat digunakan dalam elemen Action pada pernyataan kebijakan RAM untuk memberikan izin guna melakukan operasi tersebut.
API: API yang dipanggil untuk melakukan action tersebut.
Access level: Tingkat akses yang telah ditentukan untuk setiap API. Nilai yang valid: create, list, get, update, dan delete.
Resource type: Jenis resource yang mendukung otorisasi untuk melakukan action tersebut. Ini menunjukkan apakah action tersebut mendukung izin tingkat resource. Resource yang ditentukan harus kompatibel dengan action tersebut; jika tidak, kebijakan tidak akan berlaku.
- Untuk API dengan izin tingkat resource, jenis resource yang diperlukan ditandai dengan tanda bintang (*). Tentukan ARN yang sesuai dalam elemen Resource pada kebijakan.
- Untuk API tanpa izin tingkat resource, ini ditampilkan sebagai All Resources. Gunakan tanda bintang (*) dalam elemen Resource kebijakan.
Condition key: Ditentukan oleh layanan. Kunci ini memungkinkan kontrol yang lebih terperinci, yang berlaku baik untuk action saja maupun untuk action yang terkait dengan resource tertentu. Selain condition key spesifik layanan, Alibaba Cloud menyediakan serangkaian condition key umum yang berlaku di seluruh layanan yang terintegrasi dengan RAM. Untuk informasi lebih lanjut, lihat Common condition keys.
Dependent action: Action dependen yang diperlukan untuk menjalankan action tersebut. Agar action dapat dieksekusi dengan sukses, RAM user atau RAM role harus memiliki izin atas semua action dependen tersebut.

Action	API	Level akses	Tipe resource	Condition key	Action dependen
sysom:UpgradeAgentForCluster	UpgradeAgentForCluster	update	All Resource ``	None	None
sysom:GetProblemPercentage	GetProblemPercentage	get	All Resource ``	None	None
sysom:GetGpuClusterArgsOptions	GetGpuClusterArgsOptions	get	All Resource ``	None	None
sysom:CpuHighAgentStreamResponse	CpuHighAgentStreamResponse	none	All Resource ``	None	None
sysom:ListInstanceStatus	ListInstanceStatus	list	All Resource ``	None	None
sysom:InvokeAnomalyDiagnosis	InvokeAnomalyDiagnosis	create	All Resource ``	None	None
sysom:ListClusters	ListClusters	list	All Resource ``	None	None
sysom:GetCopilotHistory	GetCopilotHistory	list	All Resource ``	None	None
sysom:CreateVmcoreDiagnosisTask	CreateVmcoreDiagnosisTask	none	All Resource ``	None	None
sysom:GetHotspotCompare	GetHotspotCompare	get	All Resource ``	None	None
sysom:UpgradeAgent	UpgradeAgent	update	All Resource ``	None	None
sysom:GetInspectionReport	GetInspectionReport	get	All Resource ``	None	None
sysom:GetHotspotAnalysis	GetHotspotAnalysis	get	All Resource ``	None	None
sysom:GenerateCopilotResponse	GenerateCopilotResponse	none	All Resource ``	None	None
sysom:GetGpuClusterListAlarmRecord	GetGpuClusterListAlarmRecord	get	All Resource ``	None	None
sysom:ListDiagnosis	ListDiagnosis	list	All Resource ``	None	None
sysom:InitialSysom	InitialSysom	create	All Resource ``	None	None
sysom:StartAIAnalysis	StartAIAnalysis	get	All Resource ``	None	None
sysom:ListAgentInstallRecords	ListAgentInstallRecords	list	All Resource ``	None	None
sysom:GetHealthPercentage	GetHealthPercentage	get	All Resource ``	None	None
sysom:InvokeDiagnosis	InvokeDiagnosis	create	Diagnosis `acs:sysom::{#accountId}:diagnosis/`	None	None
sysom:ListInstancesWithEcsInfo	ListInstancesWithEcsInfo	get	All Resource ``	None	None
sysom:ListInstanceHealth	ListInstanceHealth	list	All Resource ``	None	None
sysom:ListAifgJobs	ListAifgJobs	list	All Resource ``	None	None
sysom:GetListRecord	GetListRecord	get	All Resource ``	None	None
sysom:GetServiceFuncStatus	GetServiceFuncStatus	get	All Resource ``	None	None
sysom:DescribeMetricList	DescribeMetricList	get	All Resource ``	None	None
sysom:UpdateAlertStrategy	UpdateAlertStrategy	none	All Resource ``	None	None
sysom:UpdateAlertEnabled	UpdateAlertEnabled	none	All Resource ``	None	None
sysom:GetAlertStrategy	GetAlertStrategy	none	All Resource ``	None	None
sysom:ListInstances	ListInstances	list	All Resource ``	None	None
sysom:GetAgentTask	GetAgentTask	get	All Resource ``	None	None
sysom:CreateAlertStrategy	CreateAlertStrategy	none	All Resource ``	None	None
sysom:ListInstancesEcsInfoList	ListInstancesEcsInfoList	get	All Resource ``	None	None
sysom:GetHotspotPidList	GetHotspotPidList	get	All Resource ``	None	None
sysom:UninstallAgentWithType	UninstallAgentWithType	delete	All Resource ``	None	None
sysom:InstallAgentForCluster	InstallAgentForCluster	create	All Resource ``	None	None
sysom:UpdateAlertDestination	UpdateAlertDestination	update	All Resource ``	None	None
sysom:GetAlertDestination	GetAlertDestination	get	All Resource ``	None	None
sysom:GetAifgResult	GetAifgResult	get	*Diagnosis `acs:sysom::{#accountId}:diagnosis/{#DiagnosisId}`	None	None
sysom:CreateClusterVpcEndpointConnection	CreateClusterVpcEndpointConnection	create	All Resource ``	None	None
sysom:GetVmcoreDiagnosisTask	GetVmcoreDiagnosisTask	none	All Resource ``	None	None
sysom:hotSpotUniqList	GetHotSpotUniqList	get	All Resource ``	None	None
sysom:GetHotspotTracking	GetHotspotTracking	get	All Resource ``	None	None
sysom:InstallAgentWithType	InstallAgentWithType	create	All Resource ``	None	None
sysom:DeleteAlertDestination	DeleteAlertDestination	delete	All Resource ``	None	None
sysom:UpgradeAgentWithType	UpgradeAgentWithType	update	All Resource ``	None	None
sysom:ListRegions	ListRegions	list	All Resource ``	None	None
sysom:GetHostCount	GetHostCount	get	All Resource ``	None	None
sysom:GetListGpuCluster	GetListGpuCluster	get	All Resource ``	None	None
sysom:GetBasicResources	GetResources	get	All Resource ``	None	None
sysom:StartAIDiffAnalysis	StartAIDiffAnalysis	get	All Resource ``	None	None
sysom:ListPodsOfInstance	ListPodsOfInstance	list	All Resource ``	None	None
sysom:ListPluginsInstances	ListPluginsInstances	get	All Resource ``	None	None
sysom:CheckInstanceSupport	CheckInstanceSupport	none	All Resource ``	None	None
sysom:ListClusterAgentInstallRecords	ListClusterAgentInstallRecords	list	All Resource ``	None	None
sysom:DeleteAlertStrategy	DeleteAlertStrategy	delete	All Resource ``	None	None
sysom:ListAlertStrategies	ListAlertStrategies	list	All Resource ``	None	None
sysom:GetAbnormalEventsCount	GetAbnormalEventsCount	get	All Resource ``	None	None
sysom:ListAbnormalyEvents	ListAbnormalyEvents	list	All Resource ``	None	None
sysom:InstallAgent	InstallAgent	none	All Resource ``	None	None
sysom:UpdateFuncSwitchRecord	UpdateFuncSwitchRecord	get	All Resource ``	None	None
sysom:ListAlertDestinations	ListAlertDestinations	list	All Resource ``	None	None
sysom:ListInstanceInfo	ListInstanceInfo	list	All Resource ``	None	None
sysom:GetAifgUrl	GetAifgUrl	get	*Diagnosis `acs:sysom::{#accountId}:diagnosis/{#DiagnosisId}`	None	None
sysom:GetAIQueryResult	GetAIQueryResult	get	All Resource ``	None	None
sysom:GenerateCopilotStreamResponse	GenerateCopilotStreamResponse	none	All Resource ``	None	None
sysom:GetGpuClusterTopology	GetGpuClusterTopology	get	All Resource ``	None	None
sysom:CreateAlertDestination	CreateAlertDestination	create	All Resource ``	None	None
sysom:GetConfigByName	GetConfigByName	get	All Resource ``	None	None
sysom:ListAgents	ListAgents	list	All Resource ``	None	None
sysom:UpdateEventsAttention	UpdateEventsAttention	update	All Resource ``	None	None
sysom:GetDiagnosisResult	GetDiagnosisResult	get	*Diagnosis `acs:sysom::{#accountId}:diagnosis/{#DiagnosisId}`	None	None
sysom:ListAlertItems	ListAlertItems	none	All Resource ``	None	None
sysom:ListAllInstances	ListAllInstances	list	All Resource ``	None	None
sysom:CreateInstanceInspection	CreateInstanceInspection	create	All Resource ``	None	None
sysom:UninstallAgent	UninstallAgent	delete	All Resource ``	None	None
sysom:GetInstantScore	GetInstantScore	get	All Resource ``	None	None
sysom:StartAifgAnalysis	StartAifgAnalysis	create	All Resource ``	None	None
sysom:ListVmcoreDiagnosisTask	ListVmcoreDiagnosisTask	none	All Resource ``	None	None
sysom:GetHotspotInstanceList	GetHotspotInstanceList	get	All Resource ``	None	None
sysom:GetRangeScore	GetRangeScore	get	All Resource ``	None	None
sysom:GetAgent	GetAgent	get	All Resource ``	None	None
sysom:AuthDiagnosis	AuthDiagnosis	none	All Resource ``	None	None
sysom:UninstallAgentForCluster	UninstallAgentForCluster	create	All Resource ``	None	None

Resource

Tabel berikut mencantumkan resource yang ditentukan oleh Alibaba Cloud Linux. Tentukan resource tersebut dalam elemen Resource pada pernyataan kebijakan RAM untuk memberikan izin terhadap operasi tertentu. Resource tersebut diidentifikasi secara unik menggunakan ARN dengan format: acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}:

acs: Singkatan dari Alibaba Cloud service, yang menunjukkan cloud publik Alibaba Cloud.
{#ramcode}: Kode yang digunakan dalam RAM untuk menunjukkan layanan Alibaba Cloud.
{#regionId}: region ID. Jika resource mencakup semua wilayah, atur nilainya menjadi tanda bintang (*).
{#accountId}: ID akun Alibaba Cloud. Jika resource mencakup semua akun Alibaba Cloud, atur nilainya menjadi tanda bintang (*).
{#resourceType}: Identifier resource yang ditentukan oleh layanan. Mendukung struktur hierarkis, mirip dengan path file. Jika pernyataan mencakup resource global, atur nilainya menjadi tanda bintang (*).

Tipe resource	ARN
Diagnosis	acs:sysom::{#accountId}:diagnosis/* acs:sysom::{#accountId}:diagnosis/{#DiagnosisId}

Condition

Alibaba Cloud Linux tidak mendefinisikan condition key tingkat produk. Namun, Anda dapat menggunakan condition key umum Alibaba Cloud untuk kontrol akses. Untuk informasi lebih lanjut, lihat Common condition keys.

Cara membuat kebijakan RAM kustom?

Anda dapat membuat kebijakan kustom dan memberikannya kepada RAM user, RAM user group, atau RAM role. Untuk caranya, lihat: