Application Real-Time Monitoring Service：Melampirkan kebijakan kustom ke pengguna RAM

Apa itu kebijakan kustom?

Kebijakan Manajemen Akses Sumber Daya (RAM) diklasifikasikan menjadi kebijakan sistem dan kebijakan kustom. Anda dapat mengelola kebijakan kustom sesuai dengan persyaratan bisnis Anda.

• Setelah membuat kebijakan kustom, Anda harus melampirkannya ke pengguna RAM, grup pengguna RAM, atau peran RAM agar izin yang ditentukan dalam kebijakan dapat diberikan kepada entitas utama.

• Anda dapat menghapus kebijakan RAM yang tidak dilampirkan ke entitas utama. Namun, jika kebijakan RAM telah dilampirkan, Anda harus melepasnya terlebih dahulu sebelum dapat menghapusnya.

• Kebijakan kustom mendukung kontrol versi. Anda dapat mengelola versi kebijakan kustom menggunakan mekanisme manajemen versi yang disediakan oleh RAM.

Referensi

• Buat Kebijakan Kustom

• Ubah Dokumen dan Deskripsi Kebijakan Kustom

• Hapus Kebijakan Kustom

• Kelola Otorisasi Berbasis Kebijakan

• Kelola Versi Kebijakan Kustom

Langkah 1: Buat kebijakan kustom

1. Masuk ke konsol RAM sebagai pengguna RAM dengan hak administratif.

2. Di panel navigasi di sebelah kiri, pilih Permissions > Policies.

3. Di halaman Policies, klik Create Policy.

   

4. Di halaman Create Policy, klik tab JSON. Konfigurasikan kebijakan izin di editor.

   Untuk informasi lebih lanjut, lihat Elemen Kebijakan.

   Contoh berikut menunjukkan izin baca-saja pada aplikasi yang berada di wilayah China (Hangzhou) dan terkait dengan tag key0: value01 atau key0: value02.

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "arms:ReadTraceApp"
         ],
         "Resource": "acs:arms:cn-hangzhou:*:armsapp/*",
         "Effect": "Allow",
         "Condition": {
           "StringEquals": {
             "arms:tag/key0":[
               "value01",
               "value02"
             ]
           }
         }
       }
     ]
   }

5. Klik Optimize di bagian atas. Di pesan Optimalkan, klik Perform untuk mengoptimalkan kebijakan.

   Sistem melakukan operasi berikut selama optimasi tingkat lanjut:

   • Memisahkan sumber daya atau kondisi yang tidak kompatibel dengan tindakan.

   • Mempersempit sumber daya.

   • Menghilangkan duplikat atau menggabungkan pernyataan kebijakan.

6. Di halaman Create Policy, klik OK.

7. Di kotak dialog Create Policy, konfigurasikan parameter Name dan Description, lalu klik OK.

Langkah 2: Lampirkan kebijakan kustom

Lampirkan kebijakan kustom ke pengguna RAM

1. Masuk ke konsol RAM sebagai administrator RAM.

2. Di panel navigasi di sebelah kiri, pilih Identities > Users.

3. Di halaman Users, temukan pengguna RAM yang diperlukan, dan klik Add Permissions di kolom Actions.

   

   Anda juga dapat memilih beberapa pengguna RAM dan klik Add Permissions di bagian bawah halaman untuk memberikan izin kepada pengguna RAM sekaligus.

4. Di panel Grant Permission, berikan izin kepada pengguna RAM.

   1. Konfigurasikan parameter Account.

      • Account: Otorisasi berlaku untuk akun Alibaba Cloud saat ini.

      • Resource Group: Otorisasi berlaku untuk grup sumber daya tertentu.

        Penting

        Jika Anda memilih Grup Sumber Daya untuk parameter Cakupan Sumber Daya, pastikan layanan cloud yang diperlukan mendukung grup sumber daya. Untuk informasi lebih lanjut, lihat Layanan yang Bekerja dengan Grup Sumber Daya. Untuk informasi lebih lanjut tentang cara memberikan izin pada grup sumber daya, lihat Gunakan Grup Sumber Daya untuk Memberikan Izin kepada Pengguna RAM Mengelola Instance ECS Tertentu.

   2. Konfigurasikan parameter Principal.

      Principal adalah pengguna RAM yang ingin Anda berikan izin. Pengguna RAM saat ini dipilih secara otomatis.

   3. Konfigurasikan parameter Kebijakan.

      Kebijakan berisi satu set izin. Kebijakan dapat diklasifikasikan menjadi kebijakan sistem dan kebijakan kustom. Anda dapat memilih beberapa kebijakan sekaligus.

      • Kebijakan sistem: kebijakan yang dibuat oleh Alibaba Cloud. Anda dapat menggunakan tetapi tidak dapat mengubah kebijakan ini. Pembaruan versi kebijakan dipertahankan oleh Alibaba Cloud. Untuk informasi lebih lanjut, lihat Layanan yang Bekerja dengan RAM.

        Catatan

        Sistem secara otomatis mengidentifikasi kebijakan sistem berisiko tinggi, seperti AdministratorAccess dan AliyunRAMFullAccess. Kami merekomendasikan agar Anda tidak memberikan izin yang tidak perlu dengan melampirkan kebijakan berisiko tinggi.

      • Kebijakan kustom: Anda dapat mengelola dan memperbarui kebijakan kustom berdasarkan persyaratan bisnis Anda. Anda dapat membuat, memperbarui, dan menghapus kebijakan kustom. Untuk informasi lebih lanjut, lihat Buat Kebijakan Kustom.

   4. Klik Grant permissions.

5. Klik Close.

Lampirkan kebijakan kustom ke peran RAM

1. Masuk ke konsol RAM sebagai administrator RAM.

2. Di panel navigasi di sebelah kiri, pilih Identities > Roles.

3. Di halaman Roles, temukan peran RAM yang ingin Anda kelola dan klik Grant Permission di kolom Actions.

   

   Anda juga dapat memilih beberapa peran RAM dan klik Grant Permission di bagian bawah daftar peran RAM untuk memberikan izin kepada beberapa peran RAM sekaligus.

4. Di panel Grant Permission, berikan izin kepada peran RAM.

   1. Konfigurasikan parameter Cakupan Sumber Daya.

      • Account: Otorisasi berlaku untuk akun Alibaba Cloud saat ini.

      • Resource Group: Otorisasi berlaku untuk grup sumber daya tertentu.

        Catatan

        Jika Anda memilih Grup Sumber Daya untuk parameter Cakupan Sumber Daya, pastikan layanan cloud yang diperlukan mendukung grup sumber daya. Untuk informasi lebih lanjut, lihat Layanan yang Bekerja dengan Grup Sumber Daya.

   2. Konfigurasikan parameter Principal.

      Principal adalah peran RAM yang ingin Anda berikan izin. Peran RAM saat ini dipilih secara otomatis.

   3. Konfigurasikan parameter Kebijakan.

      Kebijakan adalah satu set izin akses. Anda dapat memilih beberapa kebijakan sekaligus.

      • Kebijakan sistem: kebijakan yang dibuat oleh Alibaba Cloud. Anda dapat menggunakan tetapi tidak dapat mengubah kebijakan ini. Pembaruan versi kebijakan dipertahankan oleh Alibaba Cloud. Untuk informasi lebih lanjut, lihat Layanan yang Bekerja dengan RAM.

        Catatan

        Sistem secara otomatis mengidentifikasi kebijakan sistem berisiko tinggi, seperti AdministratorAccess dan AliyunRAMFullAccess. Kami merekomendasikan agar Anda tidak memberikan izin yang tidak perlu dengan melampirkan kebijakan berisiko tinggi.

      • Kebijakan kustom: Anda dapat mengelola dan memperbarui kebijakan kustom berdasarkan persyaratan bisnis Anda. Anda dapat membuat, memperbarui, dan menghapus kebijakan kustom. Untuk informasi lebih lanjut, lihat Buat Kebijakan Kustom.

   4. Klik Grant permissions.

5. Klik Close.

Setelah melampirkan kebijakan ke peran RAM, Anda dapat menggunakan peran RAM untuk masuk ke konsol ARMS. Untuk informasi lebih lanjut, lihat Asumsikan Peran RAM.

Elemen kebijakan

Effect

Menentukan apakah hasil pernyataan adalah izin eksplisit atau penolakan eksplisit. Nilai valid: Allow dan Deny.

Action

Resource

Menentukan sumber daya tempat kebijakan berlaku.

Contoh pernyataan:

"Resource": [
     "acs:arms:<regionid>:*:armsapp/<appname>"
 ]

• Ganti <regionid> dengan ID wilayah yang ditentukan. Jika Anda ingin memberikan izin pada sumber daya di semua wilayah, ganti <regionid> dengan *.

• Ganti <appname> dengan nama aplikasi yang ditentukan. Jika Anda ingin memberikan izin pada semua aplikasi, ganti <appname> dengan *. Jika Anda ingin menentukan aplikasi yang memiliki awalan nama yang sama, ganti <appname> dengan Awalan Nama*. Contoh: k8s*.

Condition

Anda dapat menentukan sumber daya menggunakan pasangan kunci-nilai. Untuk informasi lebih lanjut tentang cara melampirkan tag ke aplikasi, lihat Kelola Tag.

• Pasangan kunci-nilai mendukung operator berikut:

  • StringEquals

  • StringNotEquals

  • StringEqualsIgnoreCase

  • StringNotEqualsIgnoreCase

  • StringLike

  • StringNotLike

• Kunci kondisi: arms:tag

• Nilai kunci kondisi: pasangan kunci-nilai

"Condition": {
  "StringEquals": {       // Operator.
    "arms:tag/key0":[      // Kunci kondisi.
      "value01",        // Nilai kunci kondisi.
      "value02"
    ]
  }
}

Referensi

Untuk menggunakan kebijakan kustom, Anda harus memahami persyaratan kontrol izin bisnis Anda dan informasi otorisasi ARMS. Untuk informasi lebih lanjut, lihat Otorisasi RAM.