Resource Access Management:Buat kebijakan kustom

Contoh kebijakan kustom umum

Contoh berikut menunjukkan cara mengonfigurasi kebijakan kustom untuk skenario otorisasi umum menggunakan script editor.

Otorisasi operasi tingkat akun

Operasi tingkat akun, seperti membuat RAM user dan AccessKey, mengharuskan Anda mengatur elemen Resource ke "*" dan mengatur cakupan otorisasi ke Entire Alibaba Cloud Account. Operasi ini tidak dapat dibatasi hanya pada kelompok sumber daya tertentu.

Contoh berikut memberikan izin untuk membuat RAM user dan AccessKey:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateUser",
        "ram:CreateAccessKey"
      ],
      "Resource": "*"
    }
  ]
}

Izinkan RAM user mengubah password mereka sendiri

Contoh berikut memberikan izin minimum yang diperlukan bagi RAM user untuk mengubah kata sandi logon mereka sendiri:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:ChangePassword",
      "Resource": "*"
    }
  ]
}

Akses read-only ke resource tertentu

Contoh berikut memberikan akses read-only ke Instance ECS tertentu. Ganti i-xxx dengan ID instans Anda yang sebenarnya.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:Describe*",
      "Resource": "acs:ecs:*:*:instance/i-xxx"
    }
  ]
}

Otorisasi detail halus Simple Log Service

Contoh berikut memberikan izin untuk mengkueri log dan membuat store view di Simple Log Service. Ganti exampleproject dan examplelogstore dengan nama project dan penyimpanan log Anda yang sebenarnya.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStoreLogs",
        "log:CreateStoreView"
      ],
      "Resource": [
        "acs:log:*:*:project/exampleproject/logstore/examplelogstore",
        "acs:log:*:*:project/exampleproject"
      ]
    }
  ]
}

Action khusus produk yang tidak tersedia di visual editor

Beberapa action tidak tercantum di visual editor dan hanya dapat dikonfigurasi menggunakan script editor. Contohnya meliputi:

• Security Center: yundun-sc:DescribeCdnIpList

• Akses konsol Milvus: CreateConnection, DbmConnect, dan action terkait lainnya

• Operation Orchestration Service (OOS): oos:StartExecution

Contoh berikut memberikan izin untuk menjalankan eksekusi OOS:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oos:StartExecution",
      "Resource": "*"
    }
  ]
}

Untuk action yang tidak tersedia di visual editor, klik tab Script Editor dan masukkan nama action secara manual.

Penerapan ECS (izin minimum)

Penerapan Instance ECS memerlukan kombinasi action lintas beberapa layanan. Contoh berikut memberikan izin minimum yang diperlukan untuk membuat Instance ECS, termasuk akses read-only ke resource VPC dan security group yang diperlukan selama pembuatan instans:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:RunInstances",
        "ecs:DescribeInstances",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:DescribeSecurityGroups"
      ],
      "Resource": "*"
    }
  ]
}

• ecs:RunInstances: membuat dan menjalankan Instance ECS.

• ecs:DescribeInstances: mengkueri detail instans.

• vpc:DescribeVpcs dan vpc:DescribeVSwitches: memungkinkan Anda memilih VPC dan vSwitch saat membuat instans.

• ecs:DescribeSecurityGroups: memungkinkan Anda memilih security group saat membuat instans.

Konfigurasi jaringan VPC (izin minimum)

Contoh berikut memberikan izin minimum yang diperlukan untuk membuat VPC dan vSwitch:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc:CreateVpc",
        "vpc:CreateVSwitch",
        "vpc:CreateSecurityGroup",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches"
      ],
      "Resource": "*"
    }
  ]
}

• vpc:CreateVpc: membuat VPC.

• vpc:CreateVSwitch: membuat vSwitch.

• vpc:CreateSecurityGroup: membuat security group.

• vpc:DescribeVpcs dan vpc:DescribeVSwitches: mengkueri resource jaringan.

Troubleshooting error permission denied

Saat RAM user menerima error AccessForbidden atau pesan permission denied di konsol, ikuti langkah-langkah berikut untuk mengidentifikasi dan menyelesaikan masalah:

Langkah 1: Gunakan tool API Troubleshoot untuk mengidentifikasi izin yang hilang

Gunakan tool API Troubleshoot Alibaba Cloud dan masukkan RequestID dari permintaan yang gagal. Tool ini mengidentifikasi AuthAction yang tepat yang hilang, sehingga Anda dapat menambahkan izin yang diperlukan ke kebijakan kustom Anda.

Langkah 2: Verifikasi cakupan otorisasi

Pastikan cakupan otorisasi sesuai dengan jenis operasi:

• Operasi tingkat akun (seperti ram:CreateUser): Cakupan otorisasi harus diatur ke Entire Alibaba Cloud Account. Membatasi cakupan hanya pada kelompok sumber daya tertentu menyebabkan operasi ini gagal.

• Operasi yang sadar kelompok sumber daya: Verifikasi bahwa kebijakan disambungkan dengan cakupan kelompok sumber daya yang benar, atau atur cakupan ke Entire Alibaba Cloud Account.

Langkah 3: Periksa izin dependensi implisit

Beberapa operasi memerlukan izin tambahan di luar action utama. Contohnya:

• Kueri Simple Log Service: Selain log:GetLogStoreLogs, Anda mungkin memerlukan izin log:GetProject dan log:GetLogStore.

• Login konsol Milvus: Selain action manajemen utama, Anda memerlukan izin CreateConnection dan DbmConnect.

Lihat dokumentasi otorisasi RAM untuk layanan Alibaba Cloud yang sesuai guna mengidentifikasi semua izin yang diperlukan.

Kurangi ukuran kebijakan dengan wildcard

Gabungkan beberapa action yang memiliki awalan sama menjadi wildcard, yang dapat secara signifikan mengurangi ukuran kebijakan. Misalnya, ubah kebijakan berikut:

{"Action": ["oss:GetBucket", "oss:GetObject", "oss:GetBucketAcl", "oss:GetBucketLogging"]}

kepada:

{"Action": ["oss:Get*"]}

Pisahkan kebijakan berdasarkan fungsi

Pisahkan kebijakan besar yang mencakup beberapa fungsi menjadi kebijakan terpisah, dan sambungkan masing-masing ke RAM user atau kelompok pengguna yang berbeda. Misalnya, pisahkan operasi baca dan tulis menjadi dua kebijakan:

• Kebijakan read-only: {"Action": ["oss:Get*", "oss:List*"]}

• Kebijakan tulis: {"Action": ["oss:Put*", "oss:Delete*"]}

Pisahkan kebijakan berdasarkan resource

Pisahkan kebijakan berdasarkan resource. Misalnya, pisahkan izin untuk Bucket OSS yang berbeda ke dalam kebijakan berbeda, sehingga setiap kebijakan hanya memberikan izin untuk bucket tertentu. Hal ini menghindari satu kebijakan mengelola terlalu banyak resource.

Catatan penggunaan

• Saat mengonfigurasi kebijakan di visual editor, jangan memilih semua action. Pilih set action dengan hak istimewa paling rendah untuk menjaga dokumen kebijakan sekecil mungkin.

• Setelah memisahkan kebijakan, Anda harus menyambungkan setiap kebijakan hasil pemisahan ke RAM user atau kelompok pengguna secara terpisah, yang meningkatkan kompleksitas manajemen.

• Menggabungkan action dengan wildcard dapat menyebabkan over-authorization. Tinjau cakupan izin secara hati-hati untuk menghindari pemberian izin lebih dari yang sebenarnya dibutuhkan oleh bisnis Anda.

• Kebijakan langsung berlaku setelah disambungkan. Tidak perlu menunggu.

Mengapa saya tidak dapat menemukan izin tertentu di visual editor atau mengapa penyimpanan kebijakan gagal?

Masalah ini dapat terjadi karena alasan berikut:

Action tidak didukung atau belum tercantum di visual editor

Beberapa action API yang baru dirilis atau tingkat rendah, seperti oos:StartExecution dan pola wildcard seperti swas-open:*, mungkin tidak tersedia di visual editor. Visual editor juga mungkin tidak menangani pola wildcard dengan benar di bawah pembatasan resource tertentu. Untuk mengatasi masalah ini, klik tab Script Editor dan masukkan nama action secara manual.

Nama action salah eja

Beberapa nama action API memiliki perbedaan bentuk tunggal dan jamak. Misalnya, nama action yang benar adalah ecs:ReInitDisks, bukan ecs:ReInitDisk. Verifikasi nama action yang tepat di referensi API untuk layanan Alibaba Cloud yang sesuai.

Kebijakan sistem belum disinkronkan

Jika Anda tidak dapat menemukan kebijakan sistem tertentu, seperti AliyunAccountCenterFullAccess, cari konten JSON resmi kebijakan sistem tersebut dan buat ulang sebagai kebijakan kustom menggunakan Script Editor.

Validasi format JSON gagal

Verifikasi bahwa sintaksis JSON Anda benar. Kesalahan umum meliputi:

• Menentukan bidang Resource lebih dari sekali dalam satu pernyataan. Untuk menentukan beberapa resource, cantumkan sebagai array JSON dalam satu bidang Resource. Contoh: "Resource": ["acs:ecs:*:*:instance/i-aaa", "acs:ecs:*:*:instance/i-bbb"].

• Menggunakan format ARN yang salah. Pastikan ARN mengikuti pola acs:<service>:<region>:<account-id>:<resource-type>/<resource-id>.

Mengapa saya tidak dapat mengakses konsol atau melakukan operasi setelah memberikan FullAccess atau kebijakan kustom?

Masalah ini dapat terjadi karena alasan berikut:

Dependensi akses konsol

Beberapa konsol produk memerlukan izin akses konsol dasar, seperti PowerUserAccess, selain izin khusus bisnis. Memberikan hanya kebijakan FullAccess khusus bisnis mungkin tidak cukup untuk memuat halaman konsol. Sambungkan kebijakan akses dasar yang diperlukan ke RAM user.

Ketidaksesuaian cakupan otorisasi

Verifikasi bahwa cakupan otorisasi yang Anda pilih saat menyambungkan kebijakan sesuai dengan definisi Resource dalam kebijakan. Misalnya, operasi tingkat instans untuk layanan seperti OceanBase mengharuskan cakupan otorisasi diatur ke Entire Alibaba Cloud Account, dengan kebijakan menentukan ARN instans.

Prioritas dan konflik kebijakan

Periksa apakah pernyataan Deny dalam kebijakan lain mengesampingkan izin Allow, atau apakah terdapat konflik antara kebijakan kustom Anda dan kebijakan sistem. Untuk skenario kompleks, seperti akses jaringan publik MQTT, jika kebijakan kustom tidak berlaku, coba kebijakan sistem yang direkomendasikan secara resmi (seperti AliyunMQFullAccess) untuk memverifikasi konektivitas sebelum melakukan troubleshooting lebih lanjut pada kebijakan kustom Anda.