Bastionhost:Berikan izin manajemen kepada pengguna RAM

Jenis izin

Bastionhost mendukung jenis izin berikut. Setiap jenis membatasi tindakan yang dapat dilakukan pengguna RAM di Konsol Bastionhost.

Prasyarat

Sebelum memulai, pastikan Anda telah:

• Membuat pengguna RAM dalam Akun Alibaba Cloud yang memiliki instans Bastionhost.

• (Opsional). Mengikat perangkat autentikasi multi-faktor (MFA) virtual ke pengguna RAM. Ketika perangkat MFA diikat, Bastionhost memverifikasi identitas pengguna RAM menggunakan pengaturan MFA yang dikonfigurasi setiap kali login.

Berikan izin kepada pengguna RAM

1. Login ke Konsol RAM sebagai administrator RAM.

2. Di panel navigasi kiri, pilih Identities > Users.

3. Pada halaman Users, temukan pengguna RAM lalu klik Add Permissions di kolom Actions. Untuk memberikan izin ke beberapa pengguna RAM sekaligus, pilih pengguna tersebut lalu klik Add Permissions di bagian bawah halaman.

4. Pada panel Add Permissions, konfigurasikan parameter berikut:

   • Resource Scope: Pilih cakupan otorisasi.

     • Account: Otorisasi berlaku pada Akun Alibaba Cloud saat ini.

     • ResourceGroup: Izin berlaku untuk kelompok sumber daya tertentu.

     Penting

     Jika Anda memilih ResourceGroup, pastikan layanan cloud mendukung kelompok sumber daya. Lihat Layanan yang kompatibel dengan Resource Group. Untuk petunjuk memberikan izin berdasarkan kelompok sumber daya, lihat Gunakan kelompok sumber daya untuk memberikan izin kepada pengguna RAM agar dapat mengelola instans ECS tertentu.

   • Principal: Pengguna RAM yang akan diberikan izin. Pengguna RAM saat ini dipilih secara otomatis.

   • Policy: Pilih satu atau beberapa kebijakan yang sesuai dengan jenis izin yang ingin diberikan.

     Catatan

     Saat membuat instans Bastionhost, selain izin AliyunYundunBastionHostFullAccess, Anda juga memerlukan izin AliyunBSSOrderAccess untuk membayar pesanan instans. Tanpa izin ini, pembuatan instans akan gagal.

     • AliyunYundunBastionHostFullAccess: Memberikan izin penuh untuk mengelola Bastionhost.

     • AliyunBSSOrderAccess: Memberikan izin untuk melihat, membayar, dan membatalkan pesanan di User Center.

     Kebijakan AliyunYundunBastionHostFullAccess hanya memberikan izin untuk mengelola Bastionhost dan melihat detail instans. Kebijakan ini tidak mencakup izin yang diperlukan untuk membayar pesanan di User Center. Oleh karena itu, Anda tidak dapat membuat instans Bastionhost hanya dengan kebijakan ini.

5. Klik Grant permissions.

6. Klik Close.

FAQ

T: Apa yang harus saya lakukan jika pemanggilan API Bastionhost mengembalikan error InvalidAccessKeyId atau unknown endpoint?

Lakukan pemeriksaan berikut secara berurutan untuk mengatasi masalah:

1. Periksa kebijakan izin: Pastikan pengguna RAM telah diberikan AliyunYundunBastionHostFullAccess atau kebijakan kustom yang mencakup aksi Bastionhost yang diperlukan. Izin yang tidak mencukupi dapat menyebabkan kegagalan otentikasi kelas InvalidAccessKeyId.

2. Tentukan titik akhir yang benar: Saat memanggil API Bastionhost, Anda harus secara eksplisit menentukan titik akhir wilayah. Misalnya, gunakan yundun-bastionhost.aliyuncs.com untuk wilayah China (Shanghai). Bastionhost tidak mendukung resolusi titik akhir default, sehingga jika tidak ada titik akhir yang ditentukan, SDK akan mengembalikan error unknown endpoint.

3. Verifikasi AK/SK Anda: Pastikan ID AccessKey dan AccessKey Secret valid dan cocok. Jika Anda mencurigai AccessKey Secret telah terpapar atau salah, buat AccessKey baru untuk pengujian.

4. Verifikasi izin menggunakan OpenAPI Explorer: Gunakan OpenAPI Explorer dengan AK/SK pengguna RAM untuk menguji operasi ListHostAccounts (tentukan parameter RegionId). Pemanggilan yang berhasil menegaskan bahwa izin dan AK/SK telah dikonfigurasi dengan benar.

T: Apa yang harus saya lakukan jika pengguna RAM melaporkan error izin ListTagResources tidak ditemukan saat login ke Konsol O&M Bastionhost?

Penyebab: Kebijakan izin read-only preset untuk Bastionhost tidak mencakup aksi yundun-bastionhost:ListTagResources. Saat Konsol O&M mencoba memuat sumber daya tag, pemeriksaan otorisasi gagal dan mengembalikan error izin tidak ditemukan.

Solusi: Buat kebijakan izin kustom di Konsol RAM dan berikan ke pengguna RAM yang terdampak:

1. Login ke Konsol RAM.

2. Di panel navigasi kiri, pilih Permissions > Policies.

3. Klik Create Policy dan beralih ke mode pengeditan JSON.

4. Tambahkan aksi yundun-bastionhost:ListTagResources untuk layanan Bastionhost.

5. Selesaikan pembuatan kebijakan, lalu berikan kebijakan kustom tersebut ke pengguna RAM target.

T: Apa yang harus saya lakukan jika pengguna RAM melaporkan izin tidak mencukupi saat memanggil API manajemen seperti GetWatermarkConfig?

Penyebab: Masalah ini biasanya terjadi ketika izin pengguna RAM dibatasi pada kelompok sumber daya yang tidak mencakup instans Bastionhost target. Meskipun pengguna RAM telah diberikan AliyunYundunBastionHostFullAccess atau kebijakan manajemen lainnya, pemanggilan API seperti GetWatermarkConfig akan gagal jika cakupan kelompok sumber daya tidak mencakup instans Bastionhost yang diakses.

Solusi: Lakukan salah satu langkah berikut:

• Di Konsol RAM, tinjau cakupan otorisasi untuk pengguna RAM. Jika otorisasi tingkat kelompok sumber daya dikonfigurasi, pastikan kelompok sumber daya tersebut mencakup instans Bastionhost target.

• Ubah Resource Scope pemberian izin dari ResourceGroup menjadi Account untuk memberikan akses ke semua instans di bawah Akun Alibaba Cloud saat ini.

Langkah berikutnya

• Tambahkan host

• Gunakan fitur manajemen database

• Ikhtisar O&M