Gunakan kelompok sumber daya untuk mengelola Auto Scaling demi isolasi resource dan kontrol akses - Auto Scaling

Jika akun Anda memiliki banyak resource cloud, seperti grup penskalaan, Anda dapat menggunakan kelompok sumber daya untuk mengelolanya guna mencapai isolasi resource dan kontrol akses detail halus. Topik ini menjelaskan cara menggunakan kelompok sumber daya untuk mengelola resource Auto Scaling.

Latar Belakang

Kelompok sumber daya membantu Anda mengelola resource cloud dengan mengelompokkannya berdasarkan dimensi seperti tujuan, izin, atau kepemilikan. Pendekatan ini mempermudah manajemen resource secara hierarkis untuk beberapa pengguna dan proyek dalam suatu organisasi. Setiap resource cloud hanya dapat dimiliki oleh satu kelompok sumber daya, dan hubungannya dengan resource lain tidak terpengaruh saat ditambahkan ke kelompok sumber daya tersebut. Untuk informasi selengkapnya, lihat Resource groups.

Saat menggunakan kelompok sumber daya, perhatikan hal-hal berikut:

Saat Anda menambahkan grup penskalaan ke kelompok sumber daya, resource terkaitnya—seperti konfigurasi penskalaan, aturan penskalaan, tugas berbasis peristiwa, dan tugas terjadwal—secara otomatis ditambahkan ke kelompok sumber daya yang sama.
Kelompok sumber daya dari sebuah grup penskalaan bersifat independen dari kelompok sumber daya instans di dalamnya.

Sebagai contoh, sebuah grup penskalaan dapat berada dalam kelompok sumber daya yang berbeda dari Instance ECS atau elastic container instances yang di-scale out oleh grup penskalaan tersebut.
Sebuah kelompok sumber daya dapat berisi grup penskalaan dari wilayah yang berbeda.

Sebagai contoh, sebuah kelompok sumber daya dapat berisi grup penskalaan dari wilayah China (Beijing) dan grup penskalaan lain dari wilayah China (Hangzhou).
Jika Anda memberikan izin kepada RAM user untuk mengelola semua resource Alibaba Cloud, RAM user tersebut dapat melihat semua kelompok sumber daya di bawah akun utama.

Kasus Penggunaan

Catatan

Sebelum menggunakan kelompok sumber daya untuk mengelola grup penskalaan, pastikan Anda telah membuat RAM user. Jika belum, lihat Create a RAM user.

Anda dapat menggunakan kelompok sumber daya untuk mengelola grup penskalaan dalam kasus penggunaan berikut:

Tambahkan grup penskalaan dengan tujuan berbeda ke kelompok sumber daya yang berbeda untuk mengklasifikasikan dan mengelolanya. Untuk informasi selengkapnya, lihat Skenario 1: Kelompokkan grup penskalaan berdasarkan tujuan.
Tetapkan administrator terpisah untuk setiap kelompok sumber daya guna mengelola pengguna dan izin dalam cakupan masing-masing kelompok. Untuk informasi selengkapnya, lihat Skenario 2: Batasi akses administrator ke kelompok sumber daya.

Skenario 1: Kelompokkan grup penskalaan berdasarkan tujuan

Ikhtisar

Asumsikan Anda memiliki lingkungan produksi dan lingkungan pengujian. Jika grup penskalaannya tidak diorganisir, semuanya akan muncul dalam satu daftar, sehingga meningkatkan risiko kesalahan operasional. Untuk menyederhanakan pengelolaan dan mencegah kesalahan, kami merekomendasikan pembuatan dua kelompok sumber daya: satu untuk lingkungan produksi dan satu untuk lingkungan pengujian. Anda kemudian dapat menambahkan grup penskalaan ke kelompok sumber daya masing-masing sesuai tujuannya.

Sebagai contoh, sebuah Akun Alibaba Cloud memiliki dua grup penskalaan: Grup Penskalaan A untuk lingkungan produksi dan Grup Penskalaan B untuk lingkungan pengujian. Anda menambahkan Grup Penskalaan A ke kelompok sumber daya produksi dan Grup Penskalaan B ke kelompok sumber daya pengujian. Persyaratannya sebagai berikut:

Dalam kelompok sumber daya pengujian, Anda hanya dapat melihat dan mengelola Grup Penskalaan B. Hal ini mencegah modifikasi tidak disengaja terhadap Grup Penskalaan A yang dapat memengaruhi layanan online saat cakupan All resources dipilih.
Dalam kelompok sumber daya produksi, Anda hanya dapat melihat dan mengelola Grup Penskalaan A. Hal ini mencegah modifikasi tidak disengaja terhadap Grup Penskalaan B yang dapat mengganggu jadwal rilis produksi saat cakupan All resources dipilih.

Prosedur

Buat kelompok sumber daya untuk lingkungan pengujian dan produksi.

Contoh ini menggunakan kelompok sumber daya produksi bernama ProdResourceGroup dan kelompok sumber daya pengujian bernama TestResourceGroup. Untuk informasi selengkapnya, lihat Create a resource group.

Setelah menyelesaikan operasi, status kelompok sumber daya adalah Creating.... Setelah sekitar 3 detik, klik . Jika status berubah menjadi Available, berarti kelompok sumber daya telah berhasil dibuat.
Buat grup penskalaan untuk lingkungan pengujian.

Untuk memastikan bahwa Instance ECS dalam grup penskalaan berada dalam kelompok sumber daya yang sama dengan grup penskalaan tersebut, gunakan metode berikut saat membuat grup penskalaan, misalnya TestScalingGroup. Metode yang digunakan bergantung pada Instance Configuration Source yang dipilih.
- Jika Anda mengatur Instance Configuration Source ke Launch Template, tentukan Resource Group sebagai TestResourceGroup pada langkah Advanced configurations (optional) saat membuat template peluncuran. Untuk informasi selengkapnya, lihat Create a launch template.
- Jika Anda mengatur Instance Configuration Source ke Select Existing Instance, tentukan Resource Group sebagai TestResourceGroup pada bagian Advanced configurations (optional) saat membuat Instance ECS. Untuk informasi selengkapnya, lihat Create an instance by using the wizard.
- Jika Anda mengatur Instance Configuration Source ke Create from Scratch, tentukan Resource Group sebagai TestResourceGroup pada bagian Advanced Settings saat membuat konfigurasi penskalaan. Untuk informasi selengkapnya, lihat Create a scaling configuration for ECS instances.
Saat mengonfigurasi parameter grup penskalaan, atur Resource Group ke TestResourceGroup untuk membuat grup penskalaan bagi lingkungan pengujian. Untuk informasi selengkapnya, lihat Create a scaling group.
Buat grup penskalaan untuk lingkungan produksi.

Untuk memastikan bahwa Instance ECS dalam grup penskalaan berada dalam kelompok sumber daya yang sama dengan grup penskalaan tersebut, gunakan metode berikut saat membuat grup penskalaan, misalnya ProdScalingGroup. Metode yang digunakan bergantung pada Instance Configuration Source yang dipilih.
- Jika Anda mengatur Instance Configuration Source ke Launch Template, tentukan Resource Group sebagai ProdResourceGroup pada langkah Advanced configurations (optional) saat membuat template peluncuran. Untuk informasi selengkapnya, lihat Create a launch template.
- Jika Anda mengatur Instance Configuration Source ke Select Existing Instance, tentukan Resource Group sebagai ProdResourceGroup pada bagian Advanced configurations (optional) saat membuat Instance ECS. Untuk informasi selengkapnya, lihat Create an instance by using the wizard.
- Jika Anda mengatur Instance Configuration Source ke Create from Scratch, tentukan Resource Group sebagai ProdResourceGroup pada bagian Advanced Settings saat membuat konfigurasi penskalaan. Untuk informasi selengkapnya, lihat Create a scaling configuration for ECS instances.
Saat mengonfigurasi parameter grup penskalaan, atur Resource Group ke ProdResourceGroup untuk membuat grup penskalaan bagi lingkungan produksi. Untuk informasi selengkapnya, lihat Create a scaling group.

Verifikasi hasil

Masuk ke Auto Scaling console.
Di pojok kiri atas bilah navigasi atas, pilih kelompok sumber daya yang berbeda untuk memverifikasi visibilitas grup penskalaan dan instansnya.
- Saat Anda memilih All resources, baik grup penskalaan pengujian (TestScalingGroup) maupun grup penskalaan produksi (ProdScalingGroup) muncul dalam daftar grup penskalaan. Jika grup penskalaan tersebut melakukan scale out terhadap Instance ECS baru, Anda dapat melihat semua instans dari kedua kelompok sumber daya—pengujian (TestResourceGroup) dan produksi (ProdResourceGroup)—pada tab Instances.
- Saat Anda memilih TestResourceGroup, hanya grup penskalaan TestScalingGroup yang muncul dalam daftar. Jika grup penskalaan tersebut melakukan scale out terhadap Instance ECS baru, Anda hanya dapat melihat instans yang termasuk dalam kelompok sumber daya pengujian (TestResourceGroup) pada tab Instances.
- Saat Anda memilih ProdResourceGroup, hanya grup penskalaan ProdScalingGroup yang muncul dalam daftar. Jika grup penskalaan tersebut melakukan scale out terhadap Instance ECS baru, Anda hanya dapat melihat instans yang termasuk dalam kelompok sumber daya produksi (ProdResourceGroup) pada tab Instances.

Skenario 2: Kelola izin berdasarkan kelompok sumber daya

Ikhtisar

Asumsikan sebuah perusahaan memiliki departemen berbeda yang menggunakan grup penskalaan terpisah, yang termasuk dalam kelompok sumber daya berbeda (misalnya, kelompok sumber daya produksi dan pengujian). Setiap departemen memiliki administrator sendiri. Untuk memungkinkan administrator mengelola grup penskalaan hanya dalam kelompok sumber daya departemennya, Anda dapat memberikan izin yang dibatasi pada kelompok tersebut. Hal ini memastikan bahwa administrator tertentu hanya dapat melihat dan mengoperasikan resource di lingkungan produksi, sedangkan yang lain dibatasi hanya pada lingkungan pengujian.

Sebagai contoh, sebuah perusahaan menggunakan satu Akun Alibaba Cloud dan menetapkan satu RAM user untuk setiap departemen. Untuk dua departemen, Departemen A dan Departemen B, tujuannya adalah memastikan mereka dapat mengelola grup penskalaannya secara independen tanpa saling mengganggu. Persyaratan kontrol aksesnya sebagai berikut:

Administrator tidak dapat membuat atau memodifikasi grup penskalaan, atau mengubah konfigurasi seperti aturan penskalaan, milik departemen lain.
Administrator tidak dapat melihat grup penskalaan milik departemen lain.

Prosedur

Di RAM, buat kebijakan kustom bernama ApiWithoutResourcePolicy.

Beberapa operasi API Auto Scaling tidak mendukung autentikasi berbasis kelompok sumber daya, sehingga Anda harus membuat kebijakan kustom untuk memberikan izin atas operasi tersebut. Untuk informasi selengkapnya, lihat Create a custom policy.
- Operasi API berikut tidak mendukung autentikasi berbasis kelompok sumber daya:
  - DescribeRegions
  - DescribeLimitation
  - DescribeNotificationTypes
  - ListTagKeys
  - ListTagValues
- Gunakan konten berikut untuk kebijakan kustom ApiWithoutResourcePolicy:
```
{
  "Version": "1",
  "Statement": [
     {
        "Action": [
           "ess:DescribeRegions",
           "ess:DescribeLimitation",
           "ess:DescribeNotificationTypes",
           "ess:ListTagKeys",
           "ess:ListTagValues"
          ],
         "Resource": "*",
         "Effect": "Allow"
       }
    ]
}
```
Buat RAM user untuk administrator Departemen A dan Departemen B, lalu berikan izin pada cakupan Alibaba Cloud account.

Langkah ini memberikan contoh untuk administrator Departemen A. Pilih RAM user untuk administrator Departemen A sebagai Principal. Lampirkan kebijakan kustom ApiWithoutResourcePolicy yang dibuat di Langkah 1 dan kebijakan sistem AliyunECSFullAccess. Untuk informasi selengkapnya, lihat Grant permissions to a RAM user.
- Berikan kebijakan kustom kepada administrator Departemen A:
  
  Pada panel Add permissions, atur Authorized scope ke Alibaba Cloud account, pastikan principal adalah RAM user target, klik tab Custom policy, lalu cari dan pilih kebijakan ApiWithoutResourcePolicy.
- Pada halaman Add permissions, atur Authorized scope ke Alibaba Cloud account, pastikan principal adalah RAM user target, klik tab System policy, lalu cari dan pilih AliyunECSFullAccess (izin untuk mengelola Elastic Compute Service).
Buat kelompok sumber daya bernama DepartmentA untuk Departemen A dan kelompok sumber daya bernama DepartmentB untuk Departemen B.

Untuk informasi selengkapnya, lihat Create a resource group.
Berikan kebijakan AliyunESSFullAccess kepada administrator Departemen A, dengan cakupan pada kelompok sumber daya DepartmentA.

Untuk informasi selengkapnya, lihat Memberikan izin pada kelompok sumber daya ke identitas RAM atau Memberikan izin ke Pengguna RAM.
Ulangi Langkah 4 untuk memberikan kebijakan AliyunESSFullAccess kepada administrator Departemen B, dengan cakupan pada kelompok sumber daya DepartmentB.

Atur Permission Scope ke kelompok sumber daya spesifik DepartmentB, dan pilih RAM user untuk administrator Departemen B sebagai Principal.

Verifikasi hasil

Masuk ke Auto Scaling console.
Di pojok kiri atas bilah navigasi atas, pilih kelompok sumber daya yang berbeda dan coba buat grup penskalaan.

Untuk informasi selengkapnya, lihat Create a scaling group.
- Saat Anda memilih DepartmentA, administrator Departemen A dapat berhasil membuat grup penskalaan dalam kelompok sumber daya DepartmentA.
  
  Pada halaman Scaling Groups, grup penskalaan ScalingGroup-A ditampilkan dengan tipe ECS dan status Enabled.
- Saat Anda memilih DepartmentB, administrator Departemen A tidak memiliki izin untuk membuat grup penskalaan dalam kelompok sumber daya DepartmentB.
  
  Konsol mengembalikan kode kesalahan Forbidden.Unauthorized. Jenis kebijakan adalah Identity-based policy (resource-group-level), dan keputusan izin adalah Implicitly denied.
Verifikasi apakah administrator Departemen A dapat melihat grup penskalaan dalam kelompok sumber daya yang berbeda.

Untuk informasi selengkapnya, lihat View scaling groups.
- Administrator Departemen A dapat berhasil melihat grup penskalaan dalam kelompok sumber daya DepartmentA.
  
  Halaman Scaling Groups menampilkan ScalingGroup-A dengan tipe ECS, status Enabled, maksimum 1 instans, dan tidak ada instans yang sedang berjalan.
- Saat administrator Departemen A mencoba melihat grup penskalaan dalam kelompok sumber daya DepartmentB, izin ditolak.
  
  Detail kesalahan menunjukkan kode kesalahan Forbidden.Unauthorized, aksi autentikasi ess:DescribeScalingGroups, jenis kebijakan Identity-based policy (resource-group-level), dan keputusan izin Implicitly denied.