ApsaraMQ for RocketMQ:Kebijakan kustom untuk ApsaraMQ for RocketMQ

Kapan menggunakan kebijakan kustom

Kebijakan sistem menyediakan kumpulan izin yang telah ditentukan sebelumnya. Gunakan kebijakan kustom ketika Anda perlu:

• Membatasi akses ke instans, topik, atau kelompok konsumen tertentu

• Hanya mengizinkan tindakan tertentu, seperti membuat instans atau menghapus topik

• Menggabungkan beberapa cakupan izin dalam satu kebijakan

Cara kerja kebijakan kustom

Setelah membuat kebijakan kustom, sambungkan ke pengguna RAM, grup pengguna RAM, atau peran RAM untuk memberikan izin yang ditentukan.

Perhatikan aturan berikut:

• Lepaskan sebelum menghapus. Anda dapat menghapus kebijakan yang tidak disambungkan ke entitas mana pun. Jika kebijakan tersebut sedang disambungkan ke suatu entitas, lepaskan terlebih dahulu.

• Gunakan pengendalian versi. Kebijakan kustom mendukung versioning. Anda dapat mengelola versi kebijakan kustom berdasarkan mekanisme manajemen versi yang disediakan oleh RAM.

Format ARN resource

Setiap bidang Resource dalam kebijakan menggunakan Alibaba Cloud Resource Name (ARN) untuk mengidentifikasi target. Format ARN untuk ApsaraMQ for RocketMQ adalah:

acs:rocketmq:{regionId}:{accountId}:instance/{InstanceId}/topic/{TopicName}

Gunakan wildcard untuk memperluas cakupan:

Contoh kebijakan

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:ListInstances"
            ],
            "Resource": [
                "acs:rocketmq:{regionId}:{accountId}:instance/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:*"
            ],
            "Resource": [
                "acs:rocketmq:{regionId}:{accountId}:instance/{InstanceId}*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:ListAnalyticsQuery"
            ],
            "Resource": [
                "acs:rocketmq:*:{#accountId}:*/*"
            ]
        }
    ]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:CreateInstance"
            ],
            "Resource": [
                "acs:rocketmq:{regionId}:{accountId}:instance/*"
            ]
        }
    ]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:DeleteTopic"
            ],
            "Resource": [
                "acs:rocketmq:{regionId}:{accountId}:instance/{InstanceId}/topic/{TopicName}"
            ]
        }
    ]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:GetAnalyticsQuery",
                "rocketmq:SubmitAnalyticsQuery",
                "rocketmq:ListAnalyticsQuery"
            ],
            "Resource": [
                "acs:rocketmq:*:{#accountId}:*/*"
            ]
        }
    ]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:ListInstances",
                "rocketmq:GetUserTags"
            ],
            "Resource": [
                "acs:rocketmq:*:*:instance/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "rocketmq:*"
            ],
            "Resource": [
                "acs:rocketmq:{regionId}:{accountId}:instance/{InstanceId}*"
            ]
        }
    ]
}

Langkah berikutnya

• Buat kebijakan kustom

• Ubah dokumen dan deskripsi kebijakan kustom

• Hapus kebijakan kustom

• Kelola referensi kebijakan

• Kelola versi kebijakan kustom

• Otorisasi RAM untuk ApsaraMQ for RocketMQ

FAQ

T: Mengapa saya menerima error "valid resource owner failed" atau "AccessDenied (OwnerId forbidden)" saat mengakses ApsaraMQ for RocketMQ melalui HTTP?

Penyebab: Error ini biasanya terjadi karena salah satu alasan berikut:

• Error konstruksi signature: Signature permintaan HTTP tidak sesuai dengan spesifikasi HMAC-SHA256 V4. Masalah umum termasuk Canonical String yang dibangun secara salah atau header Authorization yang tidak valid.

• Ketidakcocokan resource dalam kebijakan RAM: Bidang Resource dalam kebijakan RAM Anda tidak persis sesuai dengan topik atau instans target. Nama topik di ApsaraMQ for RocketMQ bersifat sensitif terhadap huruf besar/kecil (case-sensitive). Format Resource yang benar untuk publikasi pesan protokol HTTP adalah acs:mq:*:*:instance/{InstanceId}/topic/{TopicName}.

• Izin tidak mencukupi: Pasangan Kunci Akses atau kredensial STS yang digunakan untuk permintaan tidak memiliki izin yang diperlukan, seperti mq:PUB untuk mempublikasikan pesan.

Resolusi:

1. Verifikasi bahwa signature permintaan HTTP Anda secara ketat mengikuti spesifikasi HMAC-SHA256 V4, termasuk format yang benar untuk Canonical String, header yang ditandatangani, dan header Authorization.

2. Periksa bahwa bidang Resource dalam kebijakan RAM Anda persis sesuai dengan nama topik dan instans aktual. Perhatikan sensitivitas huruf besar/kecil.

3. Konfirmasi bahwa pasangan Kunci Akses atau kredensial STS memiliki izin yang diperlukan untuk operasi yang Anda lakukan (misalnya, mq:PUB untuk mempublikasikan pesan).

Rekomendasi: Untuk menghindari kompleksitas autentikasi HTTP dan potensi error signature, gunakan SDK RocketMQ resmi, yang secara otomatis menangani penandatanganan permintaan.

T: Dapatkah saya menggunakan RequestId untuk mengetahui alasan spesifik kegagalan verifikasi izin ApsaraMQ for RocketMQ?

Tidak. Saat ini, Alibaba Cloud tidak mendukung kueri detail keputusan autentikasi IAM (Identity and Access Management) granular menggunakan RequestId. Ketika verifikasi izin gagal, backend hanya mengembalikan error umum AccessDenied tanpa mengekspos detail evaluasi kebijakan spesifik, seperti kebijakan mana yang menolak permintaan atau kondisi mana yang tidak terpenuhi.

Untuk memecahkan masalah kegagalan verifikasi izin, gunakan pendekatan self-service berikut:

• Periksa kebijakan izin Anda: Tinjau kebijakan yang disambungkan ke pengguna atau peran RAM dan pastikan semua tindakan yang diperlukan secara eksplisit diizinkan.

• Verifikasi kecocokan ARN Resource: Konfirmasi bahwa bidang Resource dalam kebijakan Anda sesuai dengan ARN resource aktual, termasuk ID wilayah, ID akun, ID instans, serta nama topik atau kelompok konsumen yang benar.

• Periksa logika signature Anda: Jika Anda menggunakan protokol HTTP untuk mengakses ApsaraMQ for RocketMQ, verifikasi bahwa logika penandatanganan permintaan Anda benar.

• Tinjau batasan izin dan kebijakan kepercayaan: Jika pengguna atau peran RAM dikenai batasan izin atau kebijakan kepercayaan, pastikan konfigurasi tersebut tidak membatasi tindakan yang diperlukan.

T: Bagaimana cara memberikan izin Cloud Monitor yang diperlukan kepada pengguna RAM untuk mengonfigurasi alert ApsaraMQ for RocketMQ?

Kebijakan izin kustom ApsaraMQ for RocketMQ hanya mengontrol akses ke resource ApsaraMQ for RocketMQ dan tidak mencakup izin Cloud Monitor. Untuk mengizinkan pengguna RAM mengonfigurasi alert ApsaraMQ for RocketMQ di Cloud Monitor, Anda harus memberikan izin Cloud Monitor kepada pengguna RAM tersebut secara terpisah.

Untuk memberikan izin Cloud Monitor read-only yang diperlukan:

1. Masuk ke Konsol RAM menggunakan Akun Alibaba Cloud atau akun administrator RAM.

2. Di panel navigasi kiri, pilih Identities > Users.

3. Di halaman Users, temukan pengguna RAM target dan klik Add Permissions di kolom Actions.

4. Di panel Add Permissions, konfigurasikan pengaturan berikut:

   • Tetapkan Authorization Scope sesuai kebutuhan Anda.

   • Tetapkan Policy Type ke System Policy.

5. Di kotak pencarian, masukkan AliyunCloudMonitorReadOnlyAccess dan pilih kebijakan dari hasil pencarian.

6. Klik OK untuk menyimpan pemberian izin.

Setelah izin diberikan, pengguna RAM dapat melihat metrik Cloud Monitor dan mengonfigurasi aturan alert untuk instans ApsaraMQ for RocketMQ.

T: Haruskah saya menggunakan kebijakan kustom RAM atau ACL untuk mengontrol izin pengiriman pesan di lingkungan pengembangan ApsaraMQ for RocketMQ 5.0?

Untuk mengontrol izin pengiriman dan penerimaan pesan di lingkungan pengembangan atau pengujian, gunakan ACL (Access Control List) daripada kebijakan kustom RAM.

• ACL: Dirancang untuk kontrol izin pengiriman dan penerimaan pesan di tingkat aplikasi. ACL memungkinkan Anda memberikan izin kepada pengguna atau aplikasi tertentu untuk mempublikasikan ke atau berlangganan dari topik tertentu dalam suatu instans. Hal ini menjadikan ACL cocok untuk skenario pengembangan dan pengujian di mana Anda perlu mensimulasikan alur pesan atau mengontrol aplikasi mana yang dapat berinteraksi dengan topik tertentu.

• Kebijakan kustom RAM: Dirancang untuk manajemen resource di tingkat akun Alibaba Cloud. Kebijakan RAM mengontrol operasi pada resource cloud, seperti membuat, mengubah, atau menghapus instans, topik, dan kelompok konsumen ApsaraMQ for RocketMQ. Kebijakan RAM mengatur siapa yang dapat mengelola resource ApsaraMQ for RocketMQ, bukan siapa yang dapat mengirim atau menerima pesan melalui resource tersebut.

Secara ringkas: