ApsaraMQ for RabbitMQ:Membuat kebijakan kustom untuk identitas RAM

Operasi terkait

• Buat kebijakan kustom

• Ubah dokumen dan deskripsi kebijakan kustom

• Hapus kebijakan kustom

• Kelola otorisasi kebijakan akses

• Kelola versi kebijakan kustom

Hierarki resource

instances/
├── $instanceId/
│   ├── vhosts/
│   │   └── $vhostName/
│   │       ├── exchanges/
│   │       │   └── $exchangeName/
│   │       │       └── messages/*
│   │       └── queues/
│   │           └── $queueName/
│   │               └── messages/*
│   └── staticAccount/*

Untuk wilayah yang didukung, lihat Endpoints.

Aksi API client

Aturan pencocokan wildcard RAM

Wildcard (*) dalam kebijakan RAM mencocokkan berdasarkan awalan nama Aksi. amqp:Get* mencocokkan setiap Aksi yang dimulai dengan Get (seperti amqp:GetInstance atau amqp:GetQueue), tetapi tidak mencocokkan Aksi yang dimulai dengan kata lain. amqp:BasicGet dimulai dengan Basic, sehingga tidak dicocokkan oleh amqp:Get*. Untuk memanggil BasicGet guna mengonsumsi pesan, Anda harus secara eksplisit menambahkan amqp:BasicGet ke daftar Aksi.

Error izin umum dan Aksi yang diperlukan

Jika panggilan API mengembalikan UnauthorizedOperation dan AccessDeniedDetail menampilkan NoPermissionType=ImplicitDeny, kebijakan tersebut kekurangan Aksi yang diperlukan. Skenario umum adalah mengonfigurasi amqp:Get* tanpa menambahkan amqp:BasicGet. Dalam kasus ini, tambahkan secara eksplisit amqp:BasicGet.

Contoh kebijakan:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "amqp:Get*",
                "amqp:List*",
                "amqp:BasicGet"
            ],
            "Resource": "*"
        }
    ]
}

Aksi konsol dan OpenAPI

Kunci kondisi untuk CreateInstance

Aksi CreateInstance mendukung kunci kondisi berikut untuk membatasi pembuatan instans. Untuk informasi lebih lanjut, lihat Condition.

Contoh 1: Akses pesan lengkap ke vhost

Memberikan izin untuk mempublikasikan, mengonsumsi, dan mengelola exchange, antrian, serta kredensial akun statis dalam vhost tertentu.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "amqp:GetInstance",
                "amqp:ListVhost",
                "amqp:GetVhost"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:ListExchange",
                "amqp:CreateExchange",
                "amqp:DeleteExchange",
                "amqp:ListQueue",
                "amqp:DeleteQueue",
                "amqp:CreateQueue",
                "amqp:BasicRecover",
                "amqp:BasicCancel",
                "amqp:BasicPublish",
                "amqp:BasicConsume",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:BasicReject",
                "amqp:QueuePurge",
                "amqp:BasicGet",
                "amqp:GetExchange",
                "amqp:GetQueue"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:ListStaticAccounts",
                "amqp:FetchStaticAccount",
                "amqp:DeleteStaticAccount"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/staticAccount/*",
            "Effect": "Allow"
        }
    ]
}

Contoh 2: Publikasikan pesan

Memberikan izin minimum bagi client produsen untuk mempublikasikan pesan ke exchange dalam vhost tertentu: mendeklarasikan exchange dan antrian, mempublikasikan pesan, serta mengakui pengiriman.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "amqp:GetInstance"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:CreateExchange",
                "amqp:CreateQueue",
                "amqp:BasicRecover",
                "amqp:BasicPublish",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:GetExchange",
                "amqp:GetQueue"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
            "Effect": "Allow"
        }
    ]
}

Contoh 3: Konsumsi pesan

Memberikan izin minimum bagi client konsumen untuk mengonsumsi pesan dari antrian dalam vhost tertentu: mendeklarasikan exchange dan antrian, mengonsumsi pesan, serta mengelola pengakuan.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "amqp:GetInstance",
                "amqp:GetVhost"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:CreateExchange",
                "amqp:CreateQueue",
                "amqp:BasicRecover",
                "amqp:BasicCancel",
                "amqp:BasicConsume",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:BasicReject",
                "amqp:QueuePurge",
                "amqp:BasicGet",
                "amqp:GetExchange",
                "amqp:GetQueue"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
            "Effect": "Allow"
        }
    ]
}

Contoh 4: Publikasi dan konsumsi pesan

Memberikan izin untuk mempublikasikan dan mengonsumsi pesan dalam vhost tertentu. Menggabungkan aksi dari Contoh 2 dan Contoh 3.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "amqp:GetInstance",
                "amqp:GetVhost"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:ListExchange",
                "amqp:CreateExchange",
                "amqp:DeleteExchange",
                "amqp:ListQueue",
                "amqp:DeleteQueue",
                "amqp:CreateQueue",
                "amqp:BasicRecover",
                "amqp:BasicCancel",
                "amqp:BasicPublish",
                "amqp:BasicConsume",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:BasicReject",
                "amqp:QueuePurge",
                "amqp:BasicGet",
                "amqp:GetExchange",
                "amqp:GetQueue"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/*",
            "Effect": "Allow"
        }
    ]
}

Contoh 5: Kelola kredensial akun statis

Memberikan izin untuk menampilkan, membuat, dan menghapus kredensial akun statis (pasangan username dan password) untuk instans tertentu.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "amqp:ListStaticAccounts",
                "amqp:FetchStaticAccount",
                "amqp:DeleteStaticAccount"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/staticAccount/*"
        },
        {
            "Effect": "Allow",
            "Action": "amqp:GetInstance",
            "Resource": "acs:amqp:*:*:/instances/$instanceId"
        }
    ]
}

Contoh 6: Buat instans

Memberikan izin untuk membuat instans ApsaraMQ for RabbitMQ edisi apa pun di wilayah mana pun.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "amqp:CreateInstance",
            "Resource": "acs:amqp:*:$accountid:/instances/*"
        }
    ]
}

Contoh 7: Buat instans Edisi Platinum tanpa akses internet

Menggunakan kunci kondisi untuk membatasi pembuatan instans hanya ke instans Edisi Platinum (vip) yang tidak mendukung akses internet (SupportEIP: false).

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "amqp:CreateInstance",
            "Resource": "acs:amqp:*:$accountid:/instances/*",
            "Condition": {
                "StringEquals": {
                    "amqp:InstanceType": [
                        "vip"
                    ],
                    "amqp:SupportEIP": [
                        "false"
                    ]
                }
            }
        }
    ]
}

Contoh 8: Akses penuh ke satu instans

Memberikan semua izin ApsaraMQ for RabbitMQ pada satu instans, termasuk manajemen vhost, operasi pesan, dan manajemen akun statis. Aksi amqp:ListInstance dibatasi cakupannya ke semua instans agar instans target muncul dalam daftar instans di konsol.

{
    "Version": "1",
    "Statement": [
        {
            "Action": "amqp:ListInstance",
            "Resource": "acs:amqp:*:*:/instances/*",
            "Effect": "Allow"
        },
        {
            "Action": "amqp:*",
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId",
                "acs:amqp:*:*:/instances/$instanceId/vhosts/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "amqp:ListStaticAccounts",
                "amqp:FetchStaticAccount",
                "amqp:DeleteStaticAccount"
            ],
            "Resource": "acs:amqp:*:*:/instances/$instanceId/staticAccount/*",
            "Effect": "Allow"
        }
    ]
}

Contoh 9: Berikan akses berbeda kepada Pengguna RAM untuk antrian berbeda

Untuk memberikan akses Pengguna RAM A hanya ke Antrian A dan Pengguna RAM B hanya ke Antrian B, buat dua kebijakan kustom terpisah dan sambungkan masing-masing ke Pengguna RAM yang sesuai. Setiap Pengguna RAM kemudian hanya dapat melakukan aksi yang diizinkan pada antrian yang ditentukan dalam kebijakannya.

Kebijakan untuk Pengguna RAM A (memberikan akses ke queueA):

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "amqp:BasicConsume",
                "amqp:BasicPublish",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:GetQueue"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/queues/queueA"
            ]
        }
    ]
}

Untuk Pengguna RAM B, buat kebijakan kedua yang identik kecuali nilai Resource mengarah ke queueB, lalu sambungkan ke Pengguna RAM B:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "amqp:BasicConsume",
                "amqp:BasicPublish",
                "amqp:BasicAck",
                "amqp:BasicNack",
                "amqp:GetQueue"
            ],
            "Resource": [
                "acs:amqp:*:*:/instances/$instanceId/vhosts/$vhostName/queues/queueB"
            ]
        }
    ]
}