Kontrol akses ke ECS menggunakan RAM user - Elastic Compute Service

Resource Access Management (RAM) Alibaba Cloud menyediakan fitur pengelolaan izin yang kuat dan detail halus, sehingga sangat ideal untuk skenario di mana beberapa departemen atau peran dalam suatu perusahaan perlu mengakses resource Elastic Compute Service (ECS). Untuk melindungi informasi sensitif dan proses bisnis kritis, Anda dapat memberikan izin akses berbeda sesuai dengan tanggung jawab spesifik masing-masing departemen atau peran. Penerapan kebijakan pemisahan izin meningkatkan efisiensi manajemen sekaligus mengurangi risiko kebocoran informasi. Topik ini menjelaskan cara mengontrol akses ke resource ECS dengan mengelola izin RAM user.

Deskripsi skenario

Misalnya, perusahaan Anda menggunakan ECS untuk menghost aplikasi dan layanan. Manajer bertanggung jawab atas perencanaan arsitektur IT dan memiliki kontrol penuh atas semua resource ECS. Tanggung jawab utamanya mencakup pembuatan resource, penyesuaian alokasi sumber daya, serta konfigurasi kebijakan keamanan. Developer bertanggung jawab atas iterasi proyek berkelanjutan dan inovasi fitur, termasuk deployment proyek ke instans ECS. Insinyur Operasi dan Pemeliharaan (O&M) memastikan kelancaran operasional sistem dengan memelihara layanan yang ada melalui pembuatan snapshot, pembuatan image, dan eksekusi skrip.

Berdasarkan kebutuhan ketiga peran tersebut, rencana izin berikut dirancang:

Manajer: Memiliki izin penuh untuk operasi ECS, seperti membuat dan menghapus instans ECS serta memodifikasi aturan security group.
Developer: Dapat melihat informasi semua instans ECS tetapi tidak dapat memodifikasi pengaturan apa pun. Mereka juga dapat login ke instans ECS untuk melakukan operasi.
Insinyur O&M: Memiliki izin untuk membuat resource tertentu, seperti snapshot dan image, serta menjalankan skrip. Mereka tidak memiliki izin untuk menghapus resource.

Prosedur

1. Buat Pengguna RAM

Login ke Resource Access Management (RAM) console menggunakan Akun Alibaba Cloud Anda. Buat tiga RAM user: Manager, Developer, dan Operator agar Anda dapat memberikan izin yang sesuai kepada personel yang berbeda. Saat membuat RAM user, pilih Console Logon. Untuk informasi selengkapnya, lihat Create a RAM user.

2. Buat kebijakan akses

Buat tiga kebijakan kustom untuk menerapkan kontrol dan manajemen akses yang lebih detail halus. Untuk informasi selengkapnya, lihat Create a custom policy.

Manager_Policy

Kebijakan ini diperuntukkan bagi manajer (Manager) dan memberikan izin penuh untuk operasi ECS.

{
    "Version": "1",
    "Statement": [
        {
            "Action": "ecs:*",
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "vpc:CheckCanAllocateVpcPrivateIpAddress",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches",
                "bss:ModifyAgreementRecord"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Developer_Policy

Kebijakan ini diperuntukkan bagi developer (Developer), memberikan izin untuk melihat resource tertentu tetapi tidak untuk membuat atau memodifikasinya. Kebijakan ini juga mengizinkan koneksi remote ke instans ECS melalui Workbench.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:List*",
                "ecs:Describe*",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches",
                "ecs-workbench:LoginInstance"
            ],
            "Resource": "*"
        }
    ]
}

Operator_Policy

Kebijakan ini diperuntukkan bagi insinyur O&M (Operator), memberikan izin untuk melihat resource tertentu serta membuat image, membuat snapshot, dan menjalankan perintah.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:Describe*",
                "ecs:AttachDisk",
                "ecs:CreateSnapshot",
                "ecs:CreateImage",
                "ecs:RunCommand",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

3. Berikan izin kepada RAM user

Tetapkan kebijakan kustom yang berbeda kepada RAM user untuk mengontrol secara tepat akses dan operasi mereka terhadap resource tertentu. Jika RAM user melakukan operasi abnormal, Anda dapat mencabut otorisasi atau mempersempit cakupan izin guna merespons dan menangani ancaman tersebut. Untuk informasi selengkapnya, lihat Manage RAM user permissions.

RAM user	Access policy to grant
Manager	Manager_Policy
Developer	Developer_Policy
Operator	Operator_Policy

4. Uji kontrol akses

Buka RAM user logon page. Login sebagai masing-masing dari tiga RAM user yang telah Anda buat.
Buka ECS console. Lakukan operasi seperti melihat daftar instans ECS, membuat instans ECS, dan membuat image untuk memverifikasi bahwa kontrol akses berfungsi dengan baik.
Manager
- Dapat melihat daftar instans ECS.
- Dapat membuat instans ECS.
- Dapat menghapus instans ECS.
- Dapat membuat image.
Developer
- Dapat melihat daftar instans ECS.
- Tidak memiliki izin untuk membuat instans ECS.
- Tidak memiliki izin untuk membuat image.
- Dapat menggunakan Workbench untuk menghubungkan dan login ke instans ECS secara remote. Setelah login, developer dapat menggunakan perintah untuk melakukan deployment proyek ke instans tersebut.
Operator
- Dapat melihat daftar instans ECS.
- Tidak memiliki izin untuk membuat instans ECS.
- Dapat membuat image.

Referensi

RAM adalah layanan Alibaba Cloud yang memungkinkan Anda mengelola identitas pengguna dan izin akses resource. Untuk informasi selengkapnya, lihat What is RAM.
Anda dapat melihat metode, instruksi, dan batasan autentikasi multi-faktor (MFA) untuk RAM user. Untuk informasi selengkapnya, lihat MFA for RAM users.
ECS menyediakan beberapa kebijakan kustom. Untuk informasi selengkapnya, lihat Custom policies.
Anda dapat menggunakan Workbench untuk login ke instans ECS. Untuk informasi selengkapnya, lihat Connect to an instance by using Workbench.